[发明专利]一种恶意脚本检测方法、装置和存储介质

说明书

本发明提出了一种恶意脚本检测方法、装置和存储介质，用以针对未知恶意脚本进行检测，提高恶意脚本检测方法的通用性。恶意脚本检测方法，包括：获取待检测样本；利用恶意脚本检测模型对待检测样本进行处理得到所述待检测样本对应的第一检测值，所述恶意脚本检测模型为利用预设机器学习算法对训练样本集进行学习得到的；判断所述第一检测值是否大于恶意脚本检测阈值，所述恶意脚本检测阈值为根据利用所述恶意脚本检测模型对测试样本集中包含的测试样本进行处理得到的；如果所述第一检测值大于所述恶意脚本检测阈值，则确定所述待检测样本是恶意脚本，如果所述第一检测值不大于所述恶意脚本检测阈值，则确定所述待检测样本不是恶意脚本。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种恶意脚本检测方法、装置和存储介质。

背景技术

随着计算机技术和互联网技术的发展，依托网络传播的恶意脚本文件数量急剧增加。例如，藏匿于恶意网站和挂马网页上的恶意JavaScript脚本随着新增网络数量的增长而迅速增加。

现有的检测恶意脚本的方法主要有两种：

基于静态分析的恶意脚本检测：预先依靠安全研究人员构建一个包含恶意脚本特征的恶意特征库。通过技术手段从网页，网站后端或其他来源提取恶意脚本样本，依靠恶意特征库对文本进行分析匹配，若匹配成功则表明检测到恶意脚本。

基于动态行为的恶意脚本检测：通过构建恶意脚本能够运行的虚拟沙箱环境，监测和截获恶意脚本虚拟执行后的各种动态行为。再依靠安全研究人员的专家知识，采用启发式的检测方式，寻找与专家知识库相匹配的恶意行为或恶意行为集合，继而根据匹配程度检测出恶意脚本和判定恶意脚本的种类。

上述两种方法中，均需要提前构建恶意特征库和专家知识库，特征库和专家知识库的完备程度依赖安全研究人员的知识水平和人员规模。而对于未被恶意特征库和专利知识库收纳的未知风险样本则无法进行检测或检测效果不好。

发明内容

本发明实施例提供一种恶意脚本检测方法、装置和存储介质，用以针对未知恶意脚本进行检测，提高恶意脚本检测方法的通用性。

第一方面，提供一种恶意脚本检测方法，包括：

获取待检测样本；

利用恶意脚本检测模型对待检测样本进行处理得到所述待检测样本对应的第一检测值，所述恶意脚本检测模型为利用预设机器学习异常检测算法对训练样本集进行学习得到的；

判断所述第一检测值是否大于恶意脚本检测阈值，所述恶意脚本检测阈值为根据利用所述恶意脚本检测模型对测试样本集中包含的测试样本进行处理得到的；

如果所述第一检测值大于所述恶意脚本检测阈值，则确定所述待检测样本是恶意脚本，如果所述第一检测值不大于所述恶意脚本检测阈值，则确定所述待检测样本不是恶意脚本。

在一个实施方式中，所述训练样本集为按照以下流程获得的：

获取初始训练样本集，所述训练样本集包括以下至少一类：从网络上公开采集的脚本文件集、安全研究网站收集的、用户上传的脚本文件集和生产实际中收集的脚本文件集；

利用已有的恶意脚本黑名单库或者病毒查杀引擎对所述初始训练样本集中包含的脚本文件进行检测，确定所述初始训练样本集中的恶意脚本文件；

从所述初始训练样本集中删除确定出的恶意脚本文件，得到训练样本集。

在一种实施方式中，利用预设机器学习异常检测算法按照以下流程对训练样本集进行学习得到所述恶意脚本检测模型：

从所述训练样本集包含的每一训练样本中分别提取样本特征，所述样本特征包括以下至少一项：静态文本特征、字符串特征、抽象语法树节点特征和静态反混淆后获取的代码特征；