CN102664875B - 基于云模式的恶意代码类别检测方法 - Google Patents

Abstract

本发明公开了一种基于云模式的恶意代码类别检测方法，包括以下步骤：云端对恶意代码家族进行处理分析，以生成初始归类数据库，并为初始归类数据库中每一类恶意代码家族生成代表特征集，在客户端拦截程序的访问或执行操作，并计算被拦截程序的唯一标识值，判断唯一标识值是否存在于本地数据库中，若不是则提取被拦截程序的特定特征文档，客户端上传被拦截程序的唯一标识值和特定特征文档到云端，判断唯一标识值是否存在于云端数据库中或特征文档是否属于某一个分类，并向客户端返回最终判断结果，以及将唯一标识值和最终判断结果分别写入云端和客户端数据库。本发明能够减缓特征库的急剧膨胀，减少可疑程序的上传，并提高云安全的防杀效率。

Description

基于云模式的恶意代码类别检测方法

技术领域

本发明属于云计算和计算机系统安全领域，具体涉及一种基于云模式的恶意代码类别检测方法。

背景技术

随着计算机技术和网络应用的快速发展，人们越来越依赖信息化技术，计算机安全显得愈发重要和普及，面对层出不穷的安全问题和爆炸式增长的恶意代码，需要不断完善和提高技术，做到及时准确的拦截和查杀。

传统的恶意代码查杀主要依靠特征码匹配模式。特征码是由分析工程师从恶意代码中提取的一段程序代码，这段代码可以区分与正常代码的不同之处。在查杀过程中，杀毒引擎会读取程序代码与特征库中的所有特征码进行匹配，如果发现程序代码能匹配任意特征码，即可判定该代码为恶意代码。

虽然特征码匹配是查杀已知恶意代码的一项很有效并且准确的技术，但随着恶意代码数量呈几何式增长，特征码的提取和特征库的更新严重滞后，杀毒软件往往无法拦截和查杀大量的未知恶意代码。而且因为特征库日益膨胀，严重影响匹配效率和查杀性能。

无特征码技术随之应运而生，例如启发式和主动防御技术。它们是基于程序行为来分析判断的实时防护技术，直接将程序的行为作为判断依据，这些行为可以是：文件生成行为，注册表修改行为，或者是驱动加载行为等，或是一组行为形成的行为序列。杀毒软件通过分析收集可疑代码的行为，与预定规则或者数据库中保存的恶意行为序列进行比对，如果命中(或者命中的行为的权重值累加之和超过预定的阈值，阈值可由分析工程师依照经验设定)，则可判定为恶意代码。

尽管无特征码技术可以通过分析行为来判定未知程序是否为恶意程序，相比更新特征库对防杀未知恶意程序更为有效，但由于无特征码方式更加依赖分析工程师的经验来制定规则或者更新恶意行为数据库，所以存在较高的误杀率或者虚警率。误杀在此处是指将正常行为判断为恶意行为，例如修改注册表的行为，许多恶意代码会修改注册表，而一部分系统工具也会有修改注册表的行为，此时就可能将系统工具判定为恶意程序。虚警在此处是指频繁地提示用户各种未知行为，而有部分行为实际上是正常的。对于未知行为，需要询问用户，让用户来判断是否放行，用户可能因为经验匮乏或是不在意报警信息，就直接放行恶意代码，从而造成破坏。

云模式的出现在一定程度上解决了上述问题，在客户端对可疑程序进行特征码比对和行为分析，如果命中，则直接判定为恶意程序；而对于未知程序或者程序具有未知行为，则将其上传到云端进行检测，由于云端具有更全的特征库和规则，并且具有更快的处理能力，所以大部分时候可以进行快速判断，如果云端仍然无法判断，则交由分析人员来具体分析。云端判断结束即可更新云端的特征库或者规则，并且给客户端返回结果，同时向所有客户端更新特征库或者规则，如果再在另一个客户端上遇到了该“未知程序”，即可立刻判断，从而达到了及时防杀未知恶意程序的目的，并且降低了误杀率和虚警率。

但是，根据摩尔定理，计算机的处理性能每十八个月翻一番，而恶意程序总数每十到十二个月就会翻一番(甚至有更快的趋势)，云端的特征库也在急剧膨大，到最后云端也处理不过来，到时仍会出现更新滞后的情形，查杀效率依然会下降，并且上传对网速的依赖较大，可见海量数据分析和网络速度成为“云安全”实际应用的瓶颈。

发明内容

本发明的目的在于提供一种基于云模式的恶意代码类别检测方法，其能够减缓特征库的急剧膨胀，减少可疑程序的上传，并提高云安全的防杀效率。

本发明是通过以下技术方案实现的：

一种基于云模式的恶意代码类别检测方法，包括以下步骤：

(1)云端利用杀毒引擎对恶意代码家族进行处理分析，以生成初始归类数据库，并为初始归类数据库中每一类恶意代码家族生成代表特征集；

(2)在客户端拦截程序的访问或执行操作，并计算被拦截程序的唯一标识值；

(3)判断唯一标识值是否存在于本地数据库中，若是则直接返回最终判断结果，过程结束；否则，提取被拦截程序的特定特征文档，并转入步骤(4)；

(4)客户端上传被拦截程序的唯一标识值和特定特征文档到云端；

(5)判断唯一标识值是否存在于云端数据库中，若是则直接向客户端返回最终判断结果，并转入步骤(10)，否则将特定特征文档转换为特征集，并转入步骤(6)；

(6)利用归类算法判断特征集是否属于初始归类数据库中的代表特征集，若是则将特征集与代表特征集融合，更新代表特征集，并向客户端返回最终判断结果，然后转入步骤(9)；否则通知客户端上传被拦截的程序，并转入步骤(7)；

(7)客户端上传被拦截的程序到云端进行分析检测；

(8)云端向客户端返回最终判断结果，并保存被拦截的程序的特征集，然后转入步骤(9)；

(9)云端将被拦截的程序的唯一标识值和最终判断结果写入云端数据库；

(10)客户端将被拦截的程序的唯一标识值和最终判断结果写入客户端数据库。

步骤(1)包括以下子步骤：

(1-1)云端获取恶意代码家族，通过在虚拟机中进行动态分析，以生成相应的特征文档；

(1-2)将特征文档转换成相应的特征集；

(1-3)通过归类算法对特征集进行相似性归类，为每一类提取出一个代表特征集，以形成初始归类数据库。

在步骤(2)中是采用MD-5算法、SHA1算法或者循环冗余校验算法计算被拦截程序的唯一标识值。

特定特征文档包括结构特征文档和行为特征文档。

归类算法为位置敏感哈希算法。

与现有方案相比，本发明具有以下优点和效果：

(1)有效减缓特征库的膨胀：由于恶意软件总数的快速增加，需要针对每一个恶意代码生成特定的特征码，这就造成了特征库的急剧膨胀，并影响客户端特征库的及时更新。而恶意代码之所以呈爆炸式增长，主要是通过现有代码进行伪装变异，或者恶意代码工具直接生成，恶意代码家族包含大部分的恶意代码。因此，用一个代表特征集指定一类恶意代码家族，将有效减缓特征库的膨胀；

(2)检测过程的高效性：对于某个可疑程序，先经由MD5(信息-摘要)码算法，或者SHA1算法，或者CRC(循环冗余校验)码算法，计算其唯一标识，再通过该唯一标识来判断其是否被检测过，如果是，则直接返回判断结果。如果不是，也会在云端判断其是否属于某类恶意代码家族，从而返回判断结果。并且在每次云端判断后，都将判断信息写入云端数据库和本地数据库，以备下次使用。因此，在检测过程中可以有效避免无谓上传和同类代码重复检测，在大量用户运行系统时，命中率更高，从而效率极高；

(3)检测结果的准确性：尽管在判断出某个可疑程序属于某类恶意代码家族的情况下，不用通过检测引擎检测或者分析人员分析，但初始的分类数据库是通过大量已知恶意代码进行归类，提取的特定代表特征集，所以在进行相似性检测时具有极高的可靠性，并且经过特定时间融合最新该类恶意代码的特征，更新特征集的代表性，从而可以对最新未知的变种进行相似性检测。并且对那些不能判断结果的可疑文件，上传检测，保证了检测结果的准确性；

(4)检测归类的可扩展性：除了如(3)所述的更新特征集，在云端还会对检测出来的大量恶意代码进行归类，从而形成新的分类，这样就能有效的判断未知的恶意代码变种，并通过特征集融合不断提高其准确性。

附图说明

图1为本发明基于云模式的恶意代码类别检测方法的应用环境图。

图2为本发明基于云模式的恶意代码类别检测方法的流程图。

图3为本发明方法中步骤(1)的细化流程图。

具体实施方式

下面结合附图对本发明进一步作详细的说明。

如图1所示，客户端对程序运行进行拦截；唯一标识码数据库对上传唯一标识码进行判断；归类数据库对上传特征文档进行判断；分析中心对未知程序进行分析判断。

云模式下客户端对程序运行进行拦截，如果是已知程序，则直接判断该程序是否是恶意程序；如果是未知程序，则通过动态分析提取该未知程序的特征文档，连同唯一标识码上传到云端，如果在云端命中标识码则直接返回结果，如果仍未命中，则将特征文档转换为特征集进行分类检测，若检测到分类结果，则返回该程序是恶意程序的结果；若在云端未命中该标识码或者没有检测到分类结果，则将该程序上传至云端杀毒引擎来检测，或是通过分析人员进行分析。所有方式得到的最终结果都将更新云端数据库并通知所有客户端，以此来提高防杀准确性和加快响应时间。

如图2所示，本发明基于云模式的恶意代码类别检测方法包括以下步骤：

(1)云端对恶意代码家族进行处理分析，以生成初始归类数据库，并为初始归类数据库中每一类恶意代码家族生成代表特征集；

(2)在客户端拦截程序的访问或执行操作，采用信息摘要-5(Message Digest-5，简称MD-5)算法、安全哈希(Secure HashingAlgorithm 1，简称SHA1)算法或者循环冗余校验算法计算被拦截程序的唯一标识值；

(3)判断唯一标识值是否存在于本地数据库中，若是则直接返回最终判断结果，过程结束；否则，提取被拦截程序的特定特征文档，并转入步骤(4)；特定特征文档包括结构特征文档和行为特征文档；

(4)客户端上传被拦截程序的唯一标识值和特定特征文档到云端；

(5)判断该唯一标识值是否存在于云端数据库中，若是则直接向客户端返回最终判断结果，并转入步骤(10)；否则将特定特征文档转换为特征集，并转入步骤(6)；转换为特征集是指去掉对其他恶意代码而言具有唯一性的特征，这些特征对判断相似性而言是多余的；

(6)利用归类算法，如位置敏感哈希(Locality Sensitive Hashing，简称LSH)算法判断该特征集是否属于初始归类数据库中的代表特征集，若是则将该特征集与代表特征集融合，更新代表特征集，并向客户端返回最终判断结果，然后转入步骤(9)；否则通知客户端上传该被拦截的程序，并转入步骤(7)；

(7)客户端上传被拦截的程序到云端进行分析检测；

(8)云端向客户端返回最终判断结果，并保存该被拦截的程序的特征集，然后转入步骤(9)；

(9)云端将该被拦截的程序的唯一标识值和最终判断结果写入云端数据库；

(10)客户端将该被拦截的程序的唯一标识值和最终判断结果写入客户端数据库。

如图3所示，本发明方法的步骤(1)包括以下子步骤：

(1-1)云端获取恶意代码家族，通过在虚拟机中进行动态分析，以生成相应的特征文档；

(1-2)将特征文档转换成相应的特征集；也就是说，去掉对其他恶意代码而言具有唯一性的特征，这些特征对判断相似性而言是多余的；

(1-3)通过归类算法(如LSH算法)对特征集进行相似性归类，为每一类提取出一个代表特征集，以形成初始归类数据库。

Claims (5)

1.一种基于云模式的恶意代码类别检测方法，其特征在于，包括以下步骤：

(1)云端对恶意代码家族进行处理分析，以生成初始归类数据库，并为所述初始归类数据库中每一类恶意代码家族生成代表特征集；

(2)在客户端拦截程序的访问或执行操作，并计算被拦截程序的唯一标识值；

(3)判断所述唯一标识值是否存在于本地数据库中，若是则直接返回最终判断结果，过程结束；否则，提取所述被拦截程序的特定特征文档，并转入步骤(4)；

(4)客户端上传所述被拦截程序的唯一标识值和特定特征文档到云端；

(5)判断所述唯一标识值是否存在于云端数据库中，若是则直接向客户端返回最终判断结果，并转入步骤(10)，否则将所述特定特征文档转换为特征集，并转入步骤(6)；

(6)利用归类算法判断所述特征集是否属于所述初始归类数据库中的所述代表特征集，若是则将所述特征集与所述代表特征集融合，更新所述代表特征集，并向客户端返回最终判断结果，然后转入步骤(9)；否则通知客户端上传所述被拦截的程序，并转入步骤(7)；

(7)客户端上传所述被拦截的程序到云端进行分析检测；

(8)云端向客户端返回最终判断结果，并保存所述被拦截的程序的特征集，然后转入步骤(9)；

(9)云端将所述被拦截的程序的唯一标识值和最终判断结果写入云端数据库；

(10)客户端将所述被拦截的程序的唯一标识值和最终判断结果写入客户端数据库。

2.根据权利要求1所述的方法，其特征在于，所述步骤(1)包括以下子步骤：

(1-1)云端获取所述恶意代码家族，通过在虚拟机中进行动态分析，以生成相应的特征文档；

(1-2)将所述特征文档转换成相应的特征集；

(1-3)通过所述归类算法对所述特征集进行相似性归类，为每一类提取出一个代表特征集，以形成所述初始归类数据库。

3.根据权利要求1所述的方法，其特征在于，在步骤(2)中是采用MD-5算法、SHA1算法或者循环冗余校验算法计算所述被拦截程序的唯一标识值。

4.根据权利要求1所述的方法，其特征在于，所述特定特征文档包括结构特征文档和行为特征文档。

5.根据权利要求1所述的方法，其特征在于，所述归类算法为位置敏感哈希算法。