[发明专利]一种基于沙箱虚拟机的逃逸检测方法有效
| 申请号： | 201710867250.9 | 申请日： | 2017-09-22 |
| 公开（公告）号： | CN107609396B | 公开（公告）日： | 2020-06-23 |
| 发明（设计）人： | 孙立;范渊;李凯 | 申请（专利权）人： | 杭州安恒信息技术股份有限公司 |
| 主分类号： | G06F21/55 | 分类号： | G06F21/55;G06F21/53 |
| 代理公司： | 杭州赛科专利代理事务所(普通合伙) 33230 | 代理人： | 郭薇;冯年群 |
| 地址： | 310052 浙江省杭州*** | 国省代码： | 浙江;33 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明涉及一种基于沙箱虚拟机的逃逸检测方法，将待检测文件置入沙箱虚拟机中，以挂起的方式运行或者打开待检测文件，产生进程，将监控程序注入进程中，正常运行进程，监控程序记录进程的行为操作，进程运行结束或达到预设时间时停止进程，分析记录的行为操作，对于存在行为操作属于恶意文件自发判断当前是否在沙箱虚拟机中的待检测文件，判断是否存在沙箱虚拟机逃逸行为，对于存在沙箱虚拟机逃逸行为的恶意文件进行告警。本发明判断可疑软件是否存在沙箱虚拟机逃逸行为，可疑文件执行判断行为但未执行恶意行为，仍可通过其执行的判断行为来判断其是否存在沙箱虚拟机逃逸行为，为判断其是否是危险文件提供参考，能更准确全面的判断恶意文件。 | ||
| 搜索关键词： | 一种 基于 虚拟机 逃逸 检测 方法 | ||
【主权项】：
一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述方法包括以下步骤：步骤1：将待检测文件置入沙箱虚拟机中；步骤2：运行或者打开待检测文件，产生进程；步骤3：将监控程序注入所述进程中，用于抓取进程的行为操作并记录；步骤4：正常运行所述进程，监控程序记录进程的行为操作；步骤5：进程运行结束或达到预设时间时，停止进程，分析监控程序记录的行为操作；步骤6：对于存在行为操作属于恶意文件自发判断当前是否在沙箱虚拟机中的待检测文件，判断是否存在沙箱虚拟机逃逸行为，对于存在沙箱虚拟机逃逸行为的恶意文件进行告警。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于杭州安恒信息技术股份有限公司，未经杭州安恒信息技术股份有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201710867250.9/，转载请声明来源钻瓜专利网。
