[发明专利]恶意挖矿程序主动防御的方法及装置

说明书

本发明提供了一种恶意挖矿程序主动防御的方法和装置，涉及网络安全的技术领域，包括：获取待保护设备的目标进程；对目标进程进行解析，得到目标进程的属性数据；基于属性数据，判断目标进程是否为恶意挖矿程序执行的进程；若判断结果为是，则阻断目标进程，解决了现有技术无法对恶意挖矿程序进行主动防御的技术问题。

技术领域

本发明涉及网络安全技术领域，尤其是涉及一种恶意挖矿程序主动防御的方法及装置。

背景技术

对于企业机构和广大网民来说，除了面对勒索病毒这一类威胁以外，其往往面临的另一类广泛的网络威胁类型就是感染恶意挖矿程序。恶意挖矿，就是在用户不知情或未经允许的情况下，占用用户终端设备的系统资源和网络资源进行挖矿，从而获取虚拟币牟利。其通常可以发生在用户的个人电脑，企业网站或服务器，个人手机，网络路由器。随着近年来虚拟货币交易市场的发展，以及虚拟货币的金钱价值，恶意挖矿攻击已经成为影响最为广泛的一类威胁攻击，并且影响着企业机构和广大个人网民。

因此，如何对恶意挖矿程序进行防御成为亟待解决的问题。

针对上述问题，还未提出有效的解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种恶意挖矿程序主动防御的方法及装置，以缓解了现有技术无法对恶意挖矿程序进行主动防御的技术问题。

第一方面，本发明实施例提供了一种恶意挖矿程序主动防御的方法，包括：获取待保护设备的目标进程；对所述目标进程进行解析，得到所述目标进程的属性数据；基于所述属性数据，判断所述目标进程是否为恶意挖矿程序执行的进程；若判断结果为是，则阻断所述目标进程。

进一步地，所述目标进程包括以下至少之一：修改定时任务的进程、文件操作进程、外联进程，对所述目标进程进行解析，得到所述目标进程的属性数据，包括：若所述目标进程为所述修改定时任务的进程，则对所述修改定时任务的进程进行解析，得到第一解析数据，并将所述第一解析数据确定为所述属性数据，其中，所述第一解析数据为用于表征执行修改定时任务的操作的信息；若所述目标进程为所述文件操作进程，则对所述文件操作进程进行解析，得到第二解析数据，并将所述第二解析数据确定为所述属性数据，其中，所述第二解析数据包括以下至少之一：用于表征对文件执行打开操作的数据，用于表征对文件关闭操作的数据；若所述目标进程为所述外联进程，则对所述外联进程进行解析，得到第三解析数据，并将所述第三解析数据确定为所述属性数据，其中，所述第三解析数据包括以下至少之一：外发数据包，接收所述外发数据包的IP地址，端口信息，传输协议。

进一步地，若所述属性数据为所述第一解析数据，则基于所述属性数据，判断所述目标进程是否为恶意挖矿程序执行的进程，包括：基于所述第一解析数据，确定执行所述修改定时任务的进程的程序是否为第一白名单中所记录的程序；若确定出执行所述修改定时任务的进程的程序是第一白名单中所记录的程序，则执行所述修改定时任务的进程的程序为所述恶意挖矿程序。

进一步地，若所述属性数据为所述第二解析数据，则基于所述属性数据，判断所述目标进程是否为恶意挖矿程序执行的进程，包括：基于所述第二解析数据，确定所述文件操作进程是否为创建文件操作进程；若所述文件操作进程是所述创建文件操作进程，则获取所述创建文件操作进程所创建的目标文件；对所述目标文件进行目标检测，得到检测结果，其中，所述目标检测包括以下至少之一：文件特征检测，hash检测，威胁情报检测；基于所述检测结果，确定执行所述文件操作进程的程序是否为所述恶意挖矿程序。

进一步地，若所述属性数据为所述第三解析数据，则基于所述属性数据，判断所述目标进程是否为恶意挖矿程序执行的进程，包括：基于所述第三解析数据，确定执行所述外联进程的程序是否为第二白名单中所记录的程序；若确定出执行所述外联进程的程序是第二白名单中所记录的程序，则对所述第三解析数据进行威胁情报检测，确定所述接收所述外发数据包的IP地址是否为矿池地址；若确定出所述接收所述外发数据包的IP地址是矿池地址，则执行所述外联进程的程序是所述恶意挖矿程序。