[发明专利]向量级检测规则生成方法、装置、电子设备及存储介质

说明书

本发明实施例提供了一种向量级检测规则生成方法、装置、电子设备及存储介质，用以解决现有技术中无法针对恶意事件进行快速响应的问题。该方法包括：监控客户端运行；若监控到可疑行为，则结合当前场景信息，对所述可疑行为进行向量提取，并自动分析，生成检测规则；客户端将所述检测规则发送至服务器端，服务器端对所述检测规则进行评估；若所述检测规则通过评估，则通知客户端，客户端根据所述检测规则对可疑行为进行检测。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种向量级检测规则生成方法、装置、电子设备及存储介质。

背景技术

随着计算机技术的发展与普及，计算机应用已经全面渗透到人们的工作与生活中，成为人们不可缺少的重要工具和家庭娱乐设备。随着计算机的广泛使用同时也会产生相应的计算机安全问题。

由于攻击者和防御者的资源不对等，攻击者会相对容易获取防御者的检测引擎，从而对恶意样本进行修改，进一步加工伪装，导致引擎无法检出逃避检测。而传统的恶意行为响应，是在恶意行为发生后，分析人员整理恶意行为信息，总结识别方法，从而检出恶意样本。但是，分析人员人工介入，会耗费时间，等人工分析总结方法，并能检出样本时，恶意软件已经在网络中爆发。因此，快速完成应急响应，防止恶意事件进一步扩散的方法策略势在必行。

发明内容

本发明实施例提供了一种向量级检测规则生成方法、装置、电子设备及存储介质，用以解决现有技术中无法针对恶意事件进行快速响应的问题。

基于上述问题，本发明实施例提供的一种向量级检测规则生成方法，包括：

监控客户端运行；若监控到可疑行为，则结合当前场景信息，对所述可疑行为进行向量提取，并自动分析，生成检测规则；客户端将所述检测规则发送至服务器端，服务器端对所述检测规则进行评估；若所述检测规则通过评估，则通知客户端，客户端根据所述检测规则对可疑行为进行检测。

进一步地，所述向量提取的内容包括：APT组织特定的字符串，IP地址和域名，静态分析及动态分析得到的行为信息、文件结构性信息。

进一步地，所述服务器端还包含规则库，所述规则库用于存放客户端发送的检测规则；

服务器端对所述检测规则进行评估，具体为：若接收的所述检测规则存在于规则库中，则直接通知客户端；若接收的所述检测规则未存在于规则库中，则利用白名单样本库对所述检测规则进行测试，若测试通过，判定所述检测规则有效。

进一步地，若接收的所述检测规则未存在于规则库中，且最终判定所述检测规则有效，则将所述检测规则记录到规则库中；

服务器端收集安全样本，不断更新所述白名单样本库。

本发明实施例提供的一种向量级检测规则生成装置，包括：

包括服务器端和客户端，服务器端和客户端通过数据传输管理单元和数据传输单元建立数据连接关系；所述服务器端包括评估单元，所述客户端包括检测引擎、提取分析单元、检测规则生成单元、检测单元；检测引擎：用于监控客户端运行；提取分析单元：用于若监控到可疑行为，则结合当前场景信息，对所述可疑行为进行向量提取，并自动分析；检测规则生成单元：用于生成检测规则；检测单元：用于若所述检测规则通过评估，客户端根据所述检测规则对可疑行为进行检测；评估单元：用于对客户端发送至服务器端的所述检测规则进行评估。

进一步地，所述向量提取的内容包括：APT组织特定的字符串，IP地址和域名，静态分析及动态分析得到的行为信息、文件结构性信息。

进一步地，所述服务器端还包含规则库，所述规则库用于存放客户端发送的检测规则；