[发明专利]恶意失陷指标的确定方法、装置、存储介质及电子设备

权利要求书

1.一种恶意失陷指标的确定方法，其特征在于，包括：

获取目标检测样本的样本检测报告，其中，所述样本检测报告包括：用于指示网络通信行为的多个失陷指标；

按照预设规则对所述多个失陷指标进行分组，得到多个通信分组；

确定所述多个通信分组的分组类型，从所述多个通信分组中确定分组类型为可疑通信分组的第一通信分组，其中，所述第一通信分组中的所有失陷指标均为可疑失陷指标；

根据恶意判定指标确定所有所述第一通信分组包括的可疑失陷指标的失陷得分，将失陷得分大于第一预设阈值的可疑失陷指标确定为恶意失陷指标。

2.根据权利要求1所述的恶意失陷指标的确定方法，其特征在于，按照预设规则对所述多个失陷指标进行分组，得到多个通信分组，包括：

将所述多个失陷指标中存在域名交集的失陷指标划分为至少一个第二通信分组、将多个剩余失陷指标中存在IP地址交集的失陷指标划分为至少一个第三通信分组，以及将不存在域名交集和IP地址交集的失陷指标划分为至少一个第四通信分组，其中，所述剩余失陷指标用于指示所述多个失陷指标中除所述第二通信分组中的失陷指标之外的失陷指标；

确定所述至少一个第二通信分组与所述至少一个第三通信分组中的IP地址是否存在IP地址交集的通信分组；

若存在，将所述第二通信分组和所述第三通信分组合并为第七通信分组，其中，所述多个通信分组包括：所述第四通信分组，所述第七通信分组。

3.根据权利要求1所述的恶意失陷指标的确定方法，其特征在于，确定所述多个通信分组的分组类型，至少包括以下之一：

在每个通信分组中存在与白名单中的失陷指标一致的失陷指标的情况下，确定所述每个通信分组的分组类型为信任通信分组，其中，所述白名单中保存有多个信任失陷指标；

在每个通信分组中不存在与白名单中的失陷指标一致的失陷指标的情况下，确定所述每个通信分组的分组类型为可疑通信分组；

在每个通信分组中的任一失陷指标存在无效通信的IP地址的情况下，确定每个通信分组的分组类型为无效通信分组；

在所述每个通信分组中的所有失陷指标均存在非互联网有效的IP地址的情况下，确定所述每个通信分组的分组类型为无效通信分组。

4.根据权利要求1所述的恶意失陷指标的确定方法，其特征在于，根据恶意判定指标确定所有所述第一通信分组包括的可疑失陷指标的失陷得分，包括：

确定与每一可疑失陷指标关联的多个第一检测样本，以及确定所述多个第一检测样本中的黑检测样本和白检测样本，其中，所述多个第一检测样本的多个第一样本检测报告中均包括：与所述每一可疑失陷指标一致的第一失陷指标；

确定所述第一失陷指标中的指标类型为可疑失陷指标的第二失陷指标以及指标类型为信任失陷指标的第三失陷指标；

在所述第二失陷指标中确定黑检测样本对应的第四失陷指标，以及在所述第四失陷指标中确定第五失陷指标和第六失陷指标，其中，所述第五失陷指标对应的黑检测样本中仅存在一个通信分组，所述第六失陷指标对应的黑检测样本的恶意代码家族信息中包含远控IP地址；

根据所述第一检测样本、所述第二失陷指标、所述第三失陷指标、所述第四失陷指标、所述第五失陷指标、所述第六失陷指标、所述黑检测样本、所述白检测样本确定恶意判定指标；

根据所述恶意判定指标确定所述每一可疑失陷指标的失陷得分。

5.根据权利要求4所述的恶意失陷指标的确定方法，其特征在于，根据所述第一检测样本、所述第二失陷指标、所述第三失陷指标、所述第四失陷指标、所述第五失陷指标、所述第六失陷指标、所述黑检测样本、所述白检测样本确定恶意判定指标，包括：

确定所述第一检测样本的第一数量、所述第二失陷指标的第二数量、所述第三失陷指标的第三数量、所述第四失陷指标的第四数量、所述第五失陷指标的第五数量、所述第六失陷指标的第六数量、所述黑检测样本的第七数量、所述白检测样本的第八数量；

根据所述第一数量、所述第二数量、所述第三数量、所述第四数量、所述第五数量、所述第六数量、所述第七数量、所述第八数量确定恶意判定指标。