[发明专利]一种基于信息熵特征波形的勒索病毒检测方法及装置

说明书

本发明公开一种基于信息熵特征波形的勒索病毒检测方法及装置，涉及工控安全技术领域。所述方法包括：在电脑中随机选取一定量的除预设文本类型外的其他大信息熵文件样本；计算样本中每个文件的信息熵，形成一个文件信息熵矩阵E；把E映射到直角坐标系，并在x轴n/2处进行分割；从左边区域中选择一个离散点；从x轴n/2处向右查找与该离散点纵坐标y相同的离散点，或查找满足一个纵坐标大于y、另一个小于y的两个离散点，若能够找到，则判定文件没有被勒索病毒加密，若仍无法找到，则判定文件被勒索病毒加密。本发明基于信息熵对文件是否被加密作出判定，并排除了特殊类型文件的影响，简单有效，并不受其他因素的干扰。

技术领域

本发明涉及工控安全技术领域，尤其涉及一种基于信息熵特征波形的勒索病毒检测方法及装置。

背景技术

勒索病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。

随着近年来，勒索病毒的肆虐，很多工控设备及重要机构的电脑被感染，导致大量的经济损失。因此本发明提出了一种基于信息熵特征波形的勒索病毒检测方法，可以快速检测电脑是否被勒索病毒侵害。

发明内容

本发明提供了一种基于信息熵特征波形的勒索病毒检测方法，包括：

在电脑中随机选取一定量的除预设文本类型外的其他大信息熵文件样本n；

计算n个文件样本中每个文件的信息熵，形成一个文件信息熵矩阵E；

把文件信息熵矩阵E映射到直角坐标系，并在x轴n/2处进行分割，形成两个和x轴围成的区域；

从左边区域中选择一个离散点；

从x轴n/2处向右查找与该离散点纵坐标y相同的离散点，若能够找到，则判定文件没有被勒索病毒加密，若无法找到，则继续从x轴n/2处向右查找满足一个纵坐标大于离散点纵坐标y、另一个纵坐标小于离散点纵坐标y的两个离散点，若能够找到，则判定文件没有被勒索病毒加密，若仍无法找到，则判定文件被勒索病毒加密。

如上所述的一种基于信息熵特征波形的勒索病毒检测方法，其中，预设文本类型的大信息熵文件样本包含压缩文件、视频文件、图片文件和其他信息熵本身就很大的文件。

如上所述的一种基于信息熵特征波形的勒索病毒检测方法，其中，将文件信息熵矩阵E映射到直角坐标系中，直角坐标系的x轴代表信息熵的大小，y轴代表此信息熵对应的文件个数。

如上所述的一种基于信息熵特征波形的勒索病毒检测方法，其中，从左边区域中选择的一个离散点具体为：选择离最高点与最低点均值最近的离散点。

本发明还提供一种基于信息熵特征波形的勒索病毒检测装置，包括：取样模块、信息熵计算模块、勒索病毒检测模块；

取样模块用于在电脑中随机选取一定量的除预设文本类型外的其他大信息熵文件样本n；

信息熵计算模块用于计算n个文件样本中每个文件的信息熵，形成一个文件信息熵矩阵E；

勒索病毒检测模块用于把文件信息熵矩阵E映射到直角坐标系，并在x轴n/2处进行分割，形成两个和x轴围成的区域；从左边区域中选择一个离散点；从x轴n/2处向右查找与该离散点纵坐标y相同的离散点，若能够找到，则判定文件没有被勒索病毒加密，若无法找到，则继续从x轴n/2处向右查找满足一个纵坐标大于离散点纵坐标y、另一个纵坐标小于离散点纵坐标y的两个离散点，若能够找到，则判定文件没有被勒索病毒加密，若仍无法找到，则判定文件被勒索病毒加密。