[发明专利]病毒文件的处理方法、装置、电子设备及可读存储介质

权利要求书

1.一种病毒文件的处理方法，其特征在于，包括：

获取待处理病毒文件的行为日志数据；

基于所述行为日志数据，确定所述待处理病毒文件的病毒行为特征；

将所述病毒行为特征与病毒文件的各样本战术、技术和攻击过程TTPS规则进行匹配，确定所述病毒行为特征所命中的各目标TTPS规则，其中，对于任一样本TTPS规则，该样本TTPS规则表征了病毒文件的病毒行为特征；

将各所述目标TTPS规则与各病毒家族的家族TTPS规则匹配，若所述各目标TTPS规则命中一病毒家族的任一家族TTPS规则，则将所命中的家族TTPS规则所对应的病毒家族，确定为所述待处理病毒文件所属的病毒家族；

展示所述待处理病毒文件的处理结果，所述处理结果包括所述待处理病毒文件所属的病毒家族。

2.根据权利要求1所述的方法，其特征在于，所述各样本TTPS规则包括各攻击技术类型对应的TTPS规则，所述基于所述行为日志数据，确定所述待处理病毒文件的病毒行为特征，包括：

基于所述行为日志数据，确定所述待处理病毒文件在攻击时对应于各攻击技术类型的攻击技术特征；

其中，所述待处理病毒文件的病毒行为特征包括各攻击技术类型对应的攻击技术特征；

所述将所述病毒行为特征与病毒文件的各样本TTPS规则进行匹配，确定所述病毒行为特征所命中的各目标TTPS规则，包括：

对于每种攻击技术类型，将该攻击技术类型的攻击技术特征和该攻击技术类型对应的各样本TTPS规则进行匹配，将满足预设匹配条件的样本TTPS规则，确定为该攻击技术类型所命中的TTPS规则，所述各目标TTPS规则包括各攻击技术类型所命中的TTPS规则。

3.根据权利要求2所述的方法，其特征在于，基于所述行为日志数据，确定每种攻击技术类型对应的攻击技术特征，包括：

基于所述行为日志数据，确定所述待处理病毒文件在攻击时对应于每种攻击技术类型的各接口的接口标识和接口参数；

对于每一攻击技术类型，根据该攻击技术类型对应的各接口的接口标识和接口参数，确定该攻击技术类型对应的攻击技术特征。

4.根据权利要求3所述的方法，其特征在于，对于一个样本TTPS规则，该样本TTPS规则包括各键值对，其中，一个键值对中的键为一个接口的接口标识，值为该接口的接口参数；

所述对于每一攻击技术类型，根据该攻击技术类型对应的各接口的接口标识和接口参数，确定该攻击技术类型对应的攻击技术特征，包括：

将该攻击技术类型对应的每个接口的接口标识作为键、将每个接口的接口参数作为值，得到对应的各第一键值对；

根据各所述第一键值对的攻击顺序将各所述第一键值对组合，得到该攻击技术类型的攻击行为特征。

5.根据权利要求1所述的方法，其特征在于，所述确定所述待处理病毒文件所属的病毒家族之后，还包括：

根据所述行为日志数据，获取各所述目标TTPS规则对应的威胁指标数据；

根据所述待处理病毒文件所属的病毒家族、所述各目标TTPS规则、以及所述威胁指标数据，生成威胁情报数据并存储。

6.根据权利要求5所述的方法，其特征在于，所述威胁指标数据包括网络协议IP和域名Domain中的至少一项；

所述根据所述待处理病毒文件所属于的病毒家族、所述各目标TTPS规则、以及所述威胁指标数据，生成威胁情报数据并存储，包括：

根据所述待处理病毒文件所属的病毒家族，对各所述威胁指标数据进行标记；

根据各所述标记后的威胁指标数据和所述各目标TTPS规则，生成威胁情报数据并存储。