CN103077352B - 一种基于云平台的程序行为分析的主动防御方法 - Google Patents

Abstract

一种基于云平台的程序行为分析的主动防御方法，系统包括云端和云客户端，其中，云端由恶意代码行为分析模块、程序行为监测模块、恶意代码处理模块构成；云客户端包括程序行为监测模块、恶意代码行为辨识模块、恶意代码处理模块构成，本发明引入云平台并基于程序行为分析、辨识、处理的行为算法辨识程序，能够智能提高主机系统的安全风险静态防御能力，有效提升终端主机安全防御能力，降低终端主机对病毒、木马、后门程序、流氓软件等恶意代码的感染概率，保证了主机安全。

Description

一种基于云平台的程序行为分析的主动防御方法

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于云平台的程序行为分析的主动防御方法。

背景技术

随着网络与信息技术的发展，网络正深刻地改变着人类的生活与工作方式。各种网络交叉互联，在给人们生活与工作带来极大方便的同时，信息安全问题也逐渐凸显，当前，随着计算机技术的发展，木马黑客技术、恶意攻击技术日新月异，其特点表现为趋利性、隐蔽性、针对性、抗杀性。黑色产业链的形成，恶意代码数量呈几何级数增长，而且恶意代码制造技术门槛降低、免杀技术日新月异、企事业面临的安全威胁正在飞速增长，黑客攻击工具、蠕虫病毒、木马后门、间谍软件、恶意脚本、ARP病毒等恶意代码爆发式增长、海量恶意代码带来的海量攻击持续不断的或周期性的困扰着用户，给企事业的信息系统造成严重的破坏，故病毒防御技术也在不断的发展，传统的病毒防御技术是从病毒体中提取病毒特征值并构成病毒特征库的方法来识别恶意代码，尽管这种方法的执行效率很高，但是存在相当大的局限性，这种技术对于新病毒的反应迟钝，特征代码库的更新则依赖于软件供应商搜集最新病毒信息并分析提取特征码，这样导致反病毒技术总是滞后于病毒的产生；且由于恶意代码快速发展，安全威胁已不是仅局限于病毒，而是包含各类已知和未知的病毒、蠕虫、木马、间谍软件、恶意插件、Rootkit和零日攻击等恶意代码，传统病毒防御技术难以检测此类攻击。

发明内容

针对现有技术的上述缺陷和问题，本发明提供了一种基于云平台的程序行为分析的主动防御方法，能够智能提高主机系统的安全风险静态防御能力，能有效提升终端主机安全防御能力，降低终端主机对病毒、木马、后门程序、流氓软件等恶意代码的感染概率，防御主机系统面临安全威胁。

为了达到上述目的，本发明提供如下技术方案：一种基于云平台的程序行为分析的主动防御方法，系统包括云端和云客户端，其中，云端由恶意代码行为分析模块、程序行为监测模块、恶意代码处理模块构成；云客户端包括程序行为监测模块、恶意代码行为辨识模块、恶意代码处理模块构成，云客户端对运行的程序行为或动作进行监控，并捕获行为，用实时运行在云客户端的恶意代码行为辨识模块的行为辨识算法程序对所监控程序的行为进行分析判断，如能准确判断该程序为恶意程序，则处理掉该程序；如不能准确判断时，则把监控捕获到的该程序的行为或动作传送到云端的恶意代码行为分析模块，恶意代码行为分析模块归纳、提取并定义为新的恶意程序行为，加入到云端恶意代码行为分析模块中的恶意程序行为辨识处理算法程序中，云端根据行为辨识算法程序的更新或变动情况，实时更新云客户端的恶意代码行为辨识模块的行为辨识算法程序，云客户端根据恶意代码行为辨识模块中新的行为辨识算法程序决定是否对该程序行为进行拦截、终止执行该程序或清理该程序，最终将处理的结果反馈到云端。

所述一种基于云平台的程序行为分析的主动防御方法，包括步骤如下：

步骤101：在云客户端计算机，运行或启动任一程序，如*.exe，*.dll等目标程序；

步骤102：在云客户端“程序行为监测模块”的作用下，对运行的程序行为或动作进行监控；

步骤103：捕获监测到的行为；

步骤104：根据云客户端的行为辨识算法程序判定捕获到的行为；

步骤105：判定该程序是否为恶意代码；

步骤106：如果判断结果为是恶意代码，则云客户端的恶意代码处理模块会马上处理并清除恶意代码；

步骤107：如果不能准确判断，把监控捕获到的该程序的行为或动作传送到云端的恶意代码行为分析模块；

步骤108：云端的恶意代码行为分析模块归纳、提取并定义最新的恶意程序行为；

步骤109：实时更新云端恶意代码行为分析模块中的恶意程序行为辨识处理算法程序；

步骤110：云端分发新的行为辨识算法程序到云客户端，云客户端的恶意代码行为处理模块根据云客户端的恶意代码行为辨识模块的新的行为辨识算法程序决定是否对该程序行为进行拦截、终止执行该程序或清理该程序。

优选的技术方案，在步骤108：云端的恶意代码行为分析模块归纳、提取并定义最新的恶意程序行为时，云端加载足够多的各类恶意代码、正常软件，对新定义的最新的恶意程序行为生成进行验证。

优选的技术方案，在步骤104：云客户端的行为辨识算法程序判定捕获到的行为，需要通过正向算法辨识是否是恶意代码，为了增加判断的准确性，减少误判率，同时对程序进行反向算法辨识，确定其是否是正常程序。

优选的技术方案，云端同云客户端通过数据加密的方式通信。

本发明引入云平台并基于程序行为分析、辨识、处理的行为算法辨识程序，能够智能提高主机系统的安全风险静态防御能力，有效提升终端主机安全防御能力，降低终端主机对病毒、木马、后门程序、流氓软件等恶意代码的感染概率，保证了主机安全。

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的流程图。

图2是恶意代码行为分析模块流程图。

具体实施方式

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

本发明实施例提供了一种基于云平台的程序行为分析的方法，以解决现有网络安全技术根据病毒特征码对比技术，而滞后于各种各样的攻击技术。

结合图1的流程图来说明：

步骤101：在云客户端计算机，运行或启动任一程序，如*.exe，*.dll等目标程序；运行的目标程序还包括操作系统可执行文件如：*.exe、*.com等；各类脚本程序如：*.vbs、*.vsh、*.js、*.bat；系统内核程序以及驱动加载。

步骤102：在云客户端“程序行为监测模块”的作用下，对运行的程序行为或动作进行监控；

步骤103：捕获监测到的行为，本步骤主要捕获目标程序在云客户端计算机的内核、服务、应用、账号、通信、文件资源系统上的行为；

步骤104：根据云客户端的行为辨识算法程序判定捕获到的行为，通过正向算法辨识是否是恶意代码，为了增加判断的准确性，减少误判率，同时对程序进行反向算法辨识，确定其是否是正常程序；

步骤105：判定该程序是否为恶意代码；

步骤106：如果判断结果为是恶意代码，则云客户端的恶意代码处理模块会马上处理并清除恶意代码；

步骤107：如果不能准确判断，把监控捕获到的该程序的行为或动作传送到云端的恶意代码行为分析模块；

步骤108：云端的恶意代码行为分析模块归纳、提取并定义最新的恶意程序行为，在本步骤中，云端加载足够多的各类恶意代码、正常软件，对新定义的最新的恶意程序行为生成进行验证。

步骤109：实时更新云端恶意代码行为分析模块中的恶意程序行为辨识处理算法程序；

步骤110：云端分发新的行为辨识算法程序到云客户端，云客户端的恶意代码行为处理模块根据云客户端的恶意代码行为辨识模块的新的行为辨识算法程序决定是否对该程序行为进行拦截、终止执行该程序或清理该程序；

本发明采用了在云端建立海量恶意代码行为分析模块，提取最新的恶意代码行为，生成恶意代码行为辨识算法程序，加载各种恶意代码和正常程序进行判断，通过强大的分发系统，把最新的“行为辨识处理算法程序”分发到云客户端，使客户端具有最新的主动防御能力。

本发明中，为提高数据的安全性，云端同云客户端通过数据加密的方式通信。

根据图2所示，恶意代码行为分析模块，包括步骤为：

步骤201：提取最新的恶意代码行为，生成恶意代码行为辨识算法程序；

步骤202：加载各种恶意代码和正常程序进行判断；

通过采用自适应多维函数Y＝k*f(X1，X2…Xn)和行为算法模型，Xn为程序某个行为风险权值，由程序行为算法确定，k为程序类别风险权重，Y为整个程序的风险值，该模型分析程序行为之间的逻辑关系，判定程序行为的合法性，实现恶意代码的自动辨识和主动防御。

加载各种恶意代码和正常程序进行判断采用的行为算法模型，包括：

格式1：行为：：行为描述：：威胁等级<函数1，参数1，参数取值特征，…参数m，参数取值特征>；

格式2：行为序列：：行为描述：：威胁等级<行为1><行为2>…<行为n>。

格式1适用于单个行为的规则建模；行为2适合多个行为的规则建模。其中，m表示函数的参数个数，n表示行为序列包含的个数；4个威胁等级：低、中、较高、极高；参数取值特征：表示对于的函数调用行为表现出恶意性是的参数的具体取值。

步骤203：把最新的“行为辨识算法程序”分发并加载在云客户端，使客户端具有最新的主动防御能力。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (1)

1.一种基于云平台的程序行为分析的主动防御方法，其特征在于：包括步骤如下：

步骤101：在云客户端计算机，运行或启动任一程序，如*.exe，*.dll等目标程序；

步骤102：在云客户端“程序行为监测模块”的作用下，对运行的程序行为或动作进行监控；

步骤103：捕获监测到的行为；

步骤104：根据云客户端的行为辨识算法程序判定捕获到的行为；云客户端的行为辨识算法程序判定捕获到的行为，需要通过正向算法辨识是否是恶意代码，为了增加判断的准确性，减少误判率，同时对程序进行反向算法辨识，确定其是否是正常程序；

步骤105：判定该程序是否为恶意代码；

步骤106：如果判断结果为是恶意代码，则云客户端的恶意代码处理模块会马上处理并清除恶意代码；

步骤107：如果不能准确判断，把监控捕获到的该程序的行为或动作传送到云端的恶意代码行为分析模块；

步骤108：云端的恶意代码行为分析模块归纳、提取并定义最新的恶意程序行为；云端的恶意代码行为分析模块归纳、提取并定义最新的恶意程序行为时，云端加载足够多的各类恶意代码、正常软件，对新定义的最新的恶意程序行为生成进行验证；

步骤109：实时更新云端恶意代码行为分析模块中的恶意程序行为辨识处理算法程序；步骤110：云端分发新的行为辨识算法程序到云客户端，云客户端的恶意代码行为处理模块根据云客户端的恶意代码行为辨识模块的新的行为辨识算法程序决定是否对该程序行为进行拦截、终止执行该程序或清理该程序；

所述云端同云客户端通过数据加密的方式通信；

所述恶意代码行为分析模块，步骤为：

步骤201：提取最新的恶意代码行为，生成恶意代码行为辨识算法程序；

步骤202：加载各种恶意代码和正常程序进行判断；通过采用自适应多维函数Y＝k*f(X1，X2…Xn)和行为算法模型，Xn为程序某个行为风险权值，由程序行为算法确定，k为程序类别风险权重，Y为整个程序的风险值，该模型分析程序行为之间的逻辑关系，判定程序行为的合法性，实现恶意代码的自动辨识和主动防御；

加载各种恶意代码和正常程序进行判断采用的行为算法模型，包括：

格式1：行为：：行为描述：：威胁等级<函数1，参数1，参数取值特征，…参数m，参数取值特征>；

格式2：行为序列：：行为描述：：威胁等级<行为1><行为2>…<行为n>；

步骤203：把最新的“行为辨识算法程序”分发并加载在云客户端，使客户端具有最新的主动防御能力。