[发明专利]一种恶意软件行为检测方法和装置

说明书

本发明提供一种恶意软件行为检测方法，包括以下步骤：预设每一个系统调用与行为之间的映射关系的行为表以及多个系统调用与行为之间的映射关系的行为组合表，并预设关联信息表以及包含多个恶意软件行为的行为检测表；响应于检测到系统调用，将调用参数与行为表进行匹配以获取匹配到的行为、ID和分类，并根据分类将参数写入相应的关联信息表中；将行为与行为检测表中的行为进行对比，并响应于比对失败而根据ID与所述行为组合表进行比对，以查找出包含所有ID的行为组合；响应于所述行为组合中的所有ID对应的系统调用均被检测到，根据与关联信息表和行为检测表的对比确定对所有系统调用对应的行为进行上报。本发明使得行为检测模块化，更加容易扩展。

技术领域

本发明涉及计算机领域，并且更具体地，涉及一种恶意软件行为检测方法和装置。

背景技术

计算机网络在高速发展的过程中，互联网技术成为了一把双刃剑，人们在享受互联网技术带来便利的同时，计算机的安全也日益受到威胁，攻击行为日趋复杂，各种方法相互融合，使计算机安全防御更加困难并且隐藏在大量正常网络中的恶意行为也越来越难以发现。

传统的恶意软件行为检测技术根据恶意代码的形态特征，提取恶意代码的指纹，通过模式匹配方式对目标系统检测和防护，典型的指纹提取方法包括Rabin指纹等。实验表明这种方法不能识别特征未知的恶意代码，以及同一个恶意代码的多态或变形。

发明内容

鉴于此，本发明实施例的目的在于提出一种恶意软件行为检测方法和装置，从攻击者的角度出发，将一系列的攻击行为进行抽象化、模块化、结构化，使攻击行为能够快速的被发现与阻止。

基于上述目的，本发明实施例的一方面提供了一种恶意软件行为检测方法，包括以下步骤：

预设每一个系统调用与行为之间的映射关系的行为表以及多个系统调用与行为之间的映射关系的行为组合表，并预设关联信息表以及包含多个恶意软件行为的行为检测表；

响应于检测到系统调用，将所述系统调用的参数与所述行为表进行匹配以获取匹配到的行为、ID和分类，并根据分类将所述参数写入相应的关联信息表中；

将所述行为与所述行为检测表中的行为进行对比，并响应于比对失败而根据所述ID与所述行为组合表进行比对，以查找出包含所有所述ID的行为组合；

响应于所述行为组合中的所有ID对应的系统调用均被检测到，读取所述相应的关联信息表中写入的参数，以确定所有所述系统调用操作的为同一对象，并根据所述确定的结果和所述行为检测表对所有所述系统调用对应的行为进行上报。

在一些实施方式中，根据所述确定的结果和所述行为检测表对所有所述系统调用对应的行为进行上报还包括：

响应于所有所述系统调用操作的为同一对象，将所述行为组合所对应的行为与所述行为检测表中的行为进行对比，并响应于对比成功而将确定出的所有所述系统调用对应的行为进行上报。

在一些实施方式中，在所述行为检测表中将恶意软件行为细分为：访问初始化、执行、常驻、提权、防御规避、凭据访问、扩散、数据收集、以及命令和控制。

在一些实施方式中，所述关联信息表包括进程关联信息表、文件关联信息表、注册表关联信息表、服务关联信息表以及网络关联信息表。

在一些实施方式中，所述进程关联信息表包括主体进程UUID、客体进程UUID、动作，所述文件关联信息表包括主体进程UUID、文件路径名、动作，所述注册表关联信息表包括主体进程UUID、注册表项、动作，所述服务关联信息表包括主体进程UUID、服务名、动作，以及所述网络关联信息表包括主体进程UUID、IP、端口、协议。

在一些实施方式中，所述行为表包括行为ID、系统调用API、参数、行为描述、行为分类以及威胁值。

在一些实施方式中，所述行为组合表包括行为ID组合、行为描述以及威胁值。