[发明专利]一种基于行为分析的未知恶意代码识别与分析方法

摘要

本发明公开了一种基于行为分析的未知恶意代码识别与分析方法，包括主机，所述主机具有应用程序接口，所述主机内部设有响应中心、控制中心、分析中心。本发明可以实现分析文件系统的变化、系统注册表的变化、网络信息的变化、进程信息的变化、动态链接库的变化、虚拟内存区域的使用情况等，可以从多维度描述未知恶意代码运行时的整个行为过程。

主权项

一种基于行为分析的未知恶意代码识别与分析方法，其特征在于：包括主机，所述主机具有应用程序接口，所述主机内部设有响应中心、控制中心、分析中心；其方法如下：A、所述响应中心包括如下方法：A1、监视主机被调用的API序列，并记录；A2、监视主机输入样本调用的应用程序接口，并记录；A3、监视主机运行状态、网络信息，并记录；A4、将记录的信息统一发送至控制中心；B、所述控制中心包括如下方法：B1、接收由分析中心下发的指令并进行处理；B2、将步骤B1处理好的指令下发至响应中心；B3、接收由响应中心发送的数据并进行分类处理；B4、将步骤B3分类处理好的数据分别发送至分析中心；C、所述分析中心包括如下方法：C1、向控制中心下发模块调用指令；C2、比对主机输入样本所调用的API序列与可信合法程序调用的API序列；C3、比对主机输入样本所调用的应用程序接口与可信合法程序调用的应用程序接口；C4、生成样本操作足迹信息；C5、根据步骤C4样本足迹信息，绘制出样本操作足迹图；C6、对步骤C4的样本足迹信息分别打上威胁级别标签，勾勒出样本威胁足迹图；C7、生成详细行为的分析图表模型。