[发明专利]未知病毒感染追溯方法、装置及系统

权利要求书

1.一种未知病毒感染追溯方法，其特征在于，应用于未知病毒感染追溯引擎，包括：

接收终端发送的监测文件的文件内容，并从所述文件内容中提取第一特征和第二特征；其中，所述第一特征为整体所述文件内容的MD5特征，所述第二特征为局部所述文件内容的MD5特征；

基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件；

若是，则将所述疑似未知病毒文件放到沙箱中进行处理，判断所述疑似未知病毒文件是否具有病毒行为特征；

若具有，则将具有病毒行为特征的疑似未知病毒文件确定为未知病毒；

接收所有终端上报的文件操作，基于所述未知病毒的第一特征的MD5值和所述文件操作的操作信息，查找所述未知病毒的传染源；

基于所述传染源，按照各个所述未知病毒的传染时间顺序对所有的所述未知病毒进行排序，形成所述未知病毒的传播路径；

基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件包括：

基于所述第一特征，计算具有所述第一特征的文件的所在终端与所有终端的第一占比；

若所述第一占比大于等于第一预设比值，则将所述监测文件确定为疑似未知病毒文件；

若所述第一占比小于所述第一预设比值，则将所述监测文件确定为疑似正常文件；

基于所述第二特征，计算具有所述第二特征的疑似正常文件的所在终端与所有终端的第二占比；

若所述第二占比大于等于第二预设比值，则将所述疑似正常文件确定为所述疑似未知病毒文件。

2.根据权利要求1所述的未知病毒感染追溯方法，其特征在于，还包括：

若所述第二占比小于第二预设比值，则将所述疑似正常文件确定为正常文件。

3.一种未知病毒感染追溯装置，其特征在于，应用于未知病毒感染追溯引擎，包括：

接收模块，用于接收终端发送的监测文件的文件内容，并从所述文件内容中提取第一特征和第二特征；其中，所述第一特征为整体所述文件内容的MD5特征，所述第二特征为局部所述文件内容的MD5特征；

判断模块，用于基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件；

处理判断模块，用于若是，则将所述疑似未知病毒文件放到沙箱中进行处理，判断所述疑似未知病毒文件是否具有病毒行为特征；

确定模块，用于若具有，则将具有病毒行为特征的疑似未知病毒文件确定为未知病毒；

接收查找模块，用于接收所有终端上报的文件操作，基于所述未知病毒的第一特征的MD5值和所述文件操作的操作信息，查找所述未知病毒的传染源；

排序模块，用于基于所述传染源，按照各个所述未知病毒的传染时间顺序对所有的所述未知病毒进行排序，形成所述未知病毒的传播路径；

所述判断模块包括：

第一计算单元，用于基于所述第一特征，计算具有所述第一特征的文件的所在终端与所有终端的第一占比；

第一确定单元，用于若所述第一占比大于等于第一预设比值，则将所述监测文件确定为疑似未知病毒文件；

第二确定单元，用于若所述第一占比小于所述第一预设比值，则将所述监测文件确定为疑似正常文件；

第二计算单元，用于基于所述第二特征，计算具有所述第二特征的疑似正常文件的所在终端与所有终端的第二占比；

第三确定单元，用于若所述第二占比大于等于第二预设比值，则将所述疑似正常文件确定为所述疑似未知病毒文件。

4.根据权利要求3所述的未知病毒感染追溯装置，其特征在于，所述判断模块还包括：

第四确定单元，用于若所述第二占比小于第二预设比值，则将所述疑似正常文件确定为正常文件。

5.一种未知病毒感染追溯系统，其特征在于，包括：一种执行权利要求1-2任一项所述的未知病毒感染追溯方法的未知病毒感染追溯引擎、至少一个终端和可视化呈现系统；

所述终端，用于向所述未知病毒感染追溯引擎提供所述终端上的监测文件的文件内容和文件操作；

所述未知病毒感染追溯引擎，用于接收所述文件内容和文件操作，并基于所述文件内容和所述文件操作，形成未知病毒的传播路径；

可视化呈现系统，用于显示所述传播路径。