[发明专利]一种恶意程序防御方法、装置、电子设备及存储介质

权利要求书

1.一种恶意程序防御方法，其特征在于，包括：

获取恶意应用程序；

将所述恶意应用程序移动至安全沙箱进行运行，得到所述恶意应用程序的基本信息；

根据所述基本信息生成攻击链；

获取所述恶意应用程序的通信数据；

根据所述通信数据和所述攻击链获取所述恶意应用程序对应的攻击意图；

根据所述攻击意图获取防御方案；

根据所述防御方案进行防御。

2.根据权利要求1所述的恶意程序防御方法，其特征在于，所述将所述恶意应用程序移动至安全沙箱进行运行的步骤，包括：

利用多模匹配算法将所述应用程序和Yara规则库进行匹配，得到匹配结果；

若所述匹配结果为是，对所述恶意程序进行处理；

若所述匹配结果为否，将所述恶意应用程序移动至安全沙箱进行运行。

3.根据权利要求1所述的恶意程序防御方法，其特征在于，在所述根据所述基本信息生成攻击链的步骤之后，还包括：

获取所述攻击链对应的关键信息；

将所述关键信息和已知攻击链的恶意应用程序的关键信息进行比对，得到比对结果；

若所述比对结果为相同，将该已知攻击链确定为所述攻击链；

若所述比对结果为不相同，将所述攻击链进行存储。

4.根据权利要求2所述的恶意程序防御方法，其特征在于，在所述根据所述基本信息生成攻击链的步骤之后，还包括：

获取所述恶意应用程序的多个行为；

将所述恶意应用程序的多个行为和已知攻击链特征库中已知攻击链的多个行为进行匹配，得到匹配成功数量；

根据所述匹配成功数量获取匹配分数；

根据所述匹配分数将所述攻击链加入所述已知攻击链特征库。

5.根据权利要求1所述的恶意程序防御方法，其特征在于，在所述根据所述通信数据和所述基本信息获取所述恶意应用程序对应的攻击意图的步骤之后，还包括：

根据所述攻击意图、所述攻击链生成所述攻击者的画像。

6.根据权利要求5所述的恶意程序防御方法，其特征在于，在所述根据所述攻击意图、所述攻击链生成所述攻击者的画像的步骤之后，还包括：

将所述攻击者的画像与已知的画像特征库中的已知攻击者的画像进行匹配，获得匹配结果；

根据所述匹配结果将所述攻击者的画像加入所述画像特征库。

7.根据权利要求6所述的恶意程序防御方法，其特征在于，所述将所述攻击者的画像与已知的画像特征库中的已知攻击者的画像进行匹配，获得匹配结果的步骤，包括：

将所述恶意应用程序对应的攻击链与所述已知攻击者的画像对应的攻击链进行匹配，得到匹配成功数量；

根据所述匹配成功数量获取匹配分数；

所述根据所述匹配结果将所述攻击者的画像加入所述画像特征库的步骤，包括：

根据所述匹配分数将所述攻击者的画像加入所述已知的画像特征库。

8.一种恶意程序防御装置，其特征在于，包括：

恶意应用程序获取模块，用于获取恶意应用程序；

基本信息获取模块，用于将所述恶意应用程序移动至安全沙箱进行运行，得到所述应用程序的基本信息；

攻击链生成模块，用于根据所述基本信息生成攻击链；

通信数据获取模块，用于获取所述应用程序的通信数据；

攻击意图获取模块，用于根据所述通信数据和所述攻击链获取所述恶意应用程序对应的攻击意图；

防御模块，用于根据所述攻击意图推荐防御方案；根据所述防御方案进行防御。

9.一种电子设备，其特征在于，包括：存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1-7任一项所述的恶意程序防御方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1-7任一项所述的恶意程序防御方法。