[发明专利]一种基于文件状态分析的勒索软件检测方法

摘要

本发明特别涉及一种基于文件状态分析的勒索软件检测方法。该基于文件状态分析的勒索软件检测方法，在监控时间窗口W内，结合文件内容监控、文件目录监控、文件增删监控三个方面对被测程序的文件访问行为进行持续性考察，并向系统的分析模块反馈监控因子，如果各监控因子的数值总和达到甚至超过了预设的告警门限值，则判断所测程序为勒索软件。该基于文件状态分析的勒索软件检测方法，通过对勒索软件修改对象的状态进行分析，实现了对所测程序勒索特性的准确反映；而且多方面逻辑的综合判断方法可以高效地区分出合法软件与潜在的勒索软件，使得恶意代码对于主机文件的破坏程度极小化，最终实现了提升服务器主机系统本身安全性和防御能力的目标。

主权项

一种基于文件状态分析的勒索软件检测方法，其特征在于：首先，系统设定文件内容监控模块、文件目录监控模块、文件增删监控模块三个监控模块，分析模块，响应模块，以及一个监控时间窗口W；然后，从主机中文件状态的多方面逻辑出发，在每个长度为W的时间单元内，全面地结合文件内容监控、文件目录监控、文件增删监控三个方面对被测程序的文件访问行为进行持续性地考察；最后，根据文件内容监控模块、文件目录监控模块以及文件增删监控模块的监控结果，向系统的分析模块反馈各自的监控因子，如果各监控因子的数值总和达到甚至超过了预设的告警门限值，则判断所测程序为勒索软件，并将该信息推送至系统的响应模块进行处理。