CN103812825B - 一种文件识别方法、装置及服务器 - Google Patents

Abstract

本发明适用于信息安全技术领域，提供了一种文件识别方法、装置及服务器，包括：根据客户端上报的扫描结果建立数据库，所述数据库中记录了从所述扫描结果中提取的每个所述客户端的GUID及其上报的被扫描文件的校验码；根据所述被扫描文件的校验码，分别在所述数据库中查询每个所述被扫描文件的上报客户端的GUID；根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率；根据所述共存率高于预设阈值的第二所述被扫描文件的属性，确定第一所述被扫描文件的属性。本发明进一步提高了服务器对被扫描文件识别的准确性，加强了对客户端的信息安全保障。

Description

一种文件识别方法、装置及服务器

技术领域

本发明属于信息安全技术领域，尤其涉及一种文件识别方法、装置及服务器。

背景技术

在当前的云查杀技术中，当客户端在用户机器上扫描出未知或者行为可疑的文件且服务器的文件信息库中不存在该文件的状态信息时，则由客户端将该文件进行上报，服务器的虚拟化数据中心（Virtual Data Center，VDC）系统根据该文件的内容或者程序行为等一系列鉴定逻辑判断该文件的属性为黑文件（病毒文件）或者白文件（安全文件）。服务器在将判断结果返回给客户端的同时，还将判断结果记录在文件信息库中，以使得此后能够直接向查询该文件属性的客户端返回该文件的属性。

然而，服务器在对未知或者行为可疑的文件进行判断时，只能针对每个文件进行单独的分析与判断，在判断过程中没有考虑到一个文件与其他文件之间的父子关系或者依赖关系。例如，一个新的病毒母体文件A.exe在运行过程中会在某目录中释放两个病毒子体文件B.exe和B.dll，其中，B.dll为具有危害行为的病毒模块，而B.exe本身并没有实质的危害行为，其只负责在系统启动后运行并加载B.dll。上述三个病毒文件在被客户端捕获并上报给服务器后，服务器无法获知这三个病毒文件之间的关系，使得B.exe有极大可能被鉴定为安全的白文件，降低了服务器对文件的识别准确率。

发明内容

本发明实施例的目的在于提供一种文件识别方法，旨在解决现有技术中服务器对客户端上报的文件识别准确率低的问题。

本发明实施例是这样实现的，一种文件识别方法，包括：

根据客户端上报的扫描结果建立数据库，所述数据库中记录了从所述扫描结果中提取的每个所述客户端的全球唯一标识符GUID及其上报的被扫描文件的校验码；

根据所述被扫描文件的校验码，分别在所述数据库中查询每个所述被扫描文件的上报客户端的GUID；

根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率；

根据所述共存率高于预设阈值的第二所述被扫描文件的属性，确定第一所述被扫描文件的属性。

本发明实施例的另一目的在于提供一种文件识别装置，包括：

数据库建立单元，用于根据客户端上报的扫描结果建立数据库，所述数据库中记录了从所述扫描结果中提取的每个所述客户端的全球唯一标识符GUID及其上报的被扫描文件的校验码；

查询单元，用于根据所述被扫描文件的校验码，分别在所述数据库中查询每个所述被扫描文件的上报客户端的GUID；

获取单元，用于根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率；

确定单元，用于根据所述共存率高于预设阈值的第二所述被扫描文件的属性，确定第一所述被扫描文件的属性。

本发明实施例的另一目的在于提供一种服务器，所述服务器包括如上所述的文件识别装置。

本发明实施例在由服务器对客户端上报的未知或者行为可疑的被扫描文件进行识别时，通过考察被扫描文件与其他文件共存于一台机器上的情况，根据共存率最高的文件的属性来确定被扫描文件的属性，进一步提高了服务器对被扫描文件识别的准确性，加强了对客户端的信息安全保障。

附图说明

图1是本发明实施例提供的文件识别方法的实现流程图；

图2是本发明实施例提供的文件识别方法步骤S101的具体实现流程图；

图3是本发明实施例提供的文件识别方法步骤S101数据库建立的原理示意图；

图4是本发明实施例提供的文件识别方法步骤S103的具体实现流程图；

图5是本发明实施例提供的文件识别装置的结构框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例在由服务器对客户端上报的未知或者行为可疑的被扫描文件进行识别时，通过考察被扫描文件与其他文件共存于一台机器上的情况，根据共存率最高的文件的属性来确定被扫描文件的属性，进一步提高了服务器对被扫描文件识别的准确性，加强了对客户端的信息安全保障。

图1示出了本发明实施例提供的文件识别方法的实现流程，详述如下：

在步骤S101中，根据客户端上报的扫描结果建立数据库，所述数据库中记录了从扫描结果中提取的每个客户端的全球唯一标识符（Globally Unique Identifier，GUID）及其上报的被扫描文件的校验码。

在本实施例中，当接收到进行病毒或者木马查杀的客户端上报的扫描结果，服务器可以从该扫描结果中提取出上报该扫描结果的客户端的GUID以及该客户端上报的每个被扫描文件的校验码。其中，GUID作为客户端的唯一标识，可以用于区别于其他客户端，进一步地，也可以用于区分不同客户端所在的计算机设备，而校验码包括但不限于文件的消息摘要算法第五版（Message Digest Algorithm，MD5）校验码或者文件的哈希（Hash）校验码，在此作为区分不同被扫描文件的唯一标识。

在具体实现中，数据库的建立可以参考图2所示流程：

在步骤S201中，获取每个客户端每次进行文件扫描的日志信息并存储。

具体地，可以通过在客户端部署旁路程序，该程序用于记录客户端的每次扫描的日志信息，并将日志信息存储在诸如文件传输协议（File Transfer Protocol，FTP）服务器等大容量存储设备中。其中，日志信息中包括了每个客户端的GUID、所有的被扫描文件的校验码及相关的文件属性，例如被扫描文件的PE结构信息、被扫描文件在用户环境的路径信息、被扫描文件PE资源的属性信息或者被扫描文件的数字签字等等，在此不一一限定，同时，日志信息中还可以指示该日志信息产生的条件，例如是通过全盘扫描产生，或者通过指定位置扫描产生，等等。

在步骤S202中，在预设时间点对存储的日志信息进行统计和消重处理后，提取日志信息中每个客户端的GUID和每个客户端上报过的被扫描文件的校验码，根据提取结果建立数据库。

由于对每个客户端来说，可能会在短时间内反复地进行多次文件扫描，因此，存储在大容量存储设备中的日志信息存在着数据重复现象。在本实施例中，通过设置固定的时间点，在该时间点对存储的日志信息进行统计和消重处理后，提取每个客户端的GUID及每个客户端上报过的被扫描文件的校验码，从而完成数据库的建立。

优选地，为了方便后续查找，可以将提取出的数据分别存储在四个K-V关系的NoSQL数据库中，这四个数据库分别为：校验码信息数据库、GUID信息数据库、校验码索引数据库和GUID索引数据库。

数据库建立的相关原理在此不用于限定本发明，作为数据库建立的一种实现方式，具体可以参考图3所示的数据库建立原理示意图，在此不再赘述。

在步骤S102中，根据被扫描文件的校验码，分别在数据库中查询每个被扫描文件的上报客户端的GUID。

在本实施例中，被扫描文件的上报客户端为上报过该被扫描文件的客户端，通过步骤S101中建立的数据库，针对客户端上报的每一个被扫描文件，均可以在数据库中查询到上报过该被扫描文件的客户端的GUID，即能够获知每一个被扫描文件存在于哪些客户端所在的计算机设备中。

在步骤S103中，根据查询出的每个被扫描文件的上报客户端的GUID，分别获取第一被扫描文件与每个第二被扫描文件之间的共存率。

其中，第一被扫描文件为当前需要识别的被扫描文件，其可以为当前上报扫描结果的客户端上报的未知属性或者可疑的文件，也可以为服务器的文件信息库中已经存储的未知属性的灰文件。在本实施例中，两个被扫描文件之间的共存率能够反映出这两个被扫描文件之间的亲缘关系，即共存率越高，两个被扫描文件之间的亲缘关系最近，其属性可能就越接近，相反地，若共存率越低，则表示两个被扫描文件之间没有直接联系的可能性越大。

作为本发明的一个实施例，共存率可以根据同时拥有两个被扫描文件的计算机设备的数量来决定，也可以根据同时拥有两个被扫描文件的计算机设备的数量，以及拥有每个被扫描文件的计算机设备的数量来共同决定。优选地，图4示出了本发明实施例提供的文件识别方法步骤S103的具体实现流程，详述如下：

在步骤S401中，获取第一被扫描文件的上报客户端的第一数量。

根据步骤S102中查询到的第一被扫描文件的上报客户端的GUID，可以确定出第一被扫描文件的上报客户端的第一数量，即拥有第一被扫描文件的计算机设备的第一数量。

在步骤S402中，获取第二被扫描文件的上报客户端的第二数量。

根据步骤S102中查询到的第二被扫描文件的上报客户端的GUID，可以确定出第二被扫描文件的上报客户端的第二数量，即拥有第二被扫描文件的计算机设备的第二数量。

在步骤S403中，根据查询出的每个被扫描文件的上报客户端的GUID，确定同时上报了第一被扫描文件与第二被扫描文件的上报客户端的第三数量。

由于不同的GUID唯一标识了一个客户端，因此，根据步骤S102中查询到的第一被扫描文件的上报客户端的GUID以及第二被扫描文件的上报客户端的GUID，即可以知道哪些客户端同时上报了第一被扫描文件和第二被扫描文件，由此确定出同时上报了第一被扫描文件和第二被扫描文件的上报客户端的第三数量，即同时拥有第一被扫描文件和第二被扫描文件的计算机设备的第三数量。

在步骤S404中，根据第一数量、第二数量及第三数量确定共存率。

根据上述三个数量参数，即可以计算出第一被扫描文件与第二被扫描文件在同一台机器上共存的共存率。作为本发明的一个实现示例，可以通过以下公式计算第一被扫描文件与第二被扫描文件的共存率：

$A=1-\frac{1}{1+l*\sqrt{d}}*\frac{d}{\sqrt{a*(a+b-d)}}$

其中，A为第一被扫描文件与第二被扫描文件的共存率，l为一个常量，可以由本领域技术人员根据实际情况确定，作为本发明的一个实现示例，l的取值可以为15，a为第一数量，b为第二数量，d为第三数量。

在具体实现中，共存率的计算公式包括但不限于上述形式，在此不用于限定本发明。

在步骤S104中，根据共存率高于预设阈值的第二被扫描文件的属性，确定第一被扫描文件的属性。

在本发明实施例中，在步骤S103获取到第一被扫描文件与每个第二被扫描文件之间的共存率之后，通过将获取到的共存率从大到小进行排列，就可以确定出与第一被扫描文件共存率最高的若干个第二被扫描文件，即确定出与第一被扫描文件的亲缘关系最高的若干个第二被扫描文件，并根据这若干个第二被扫描文件的属性确定出第一被扫描文件的属性。

作为本发明的一个实施例，根据共存率高于预设阈值的第二被扫描文件的属性，确定第一被扫描文件的属性，具体可以为在根据第一被扫描文件的内容或者程序行为等一系列鉴定逻辑无法判断出该文件为黑文件或者白文件的时候，通过K最近邻(k-NearestNeighbor，KNN)分类算法等分类算法，根据共存率高于预设阈值的第二被扫描文件的属性分布情况，对第一被扫描文件的属性进行识别。通过上述做法，有利于服务器对存储在文件信息库中的文件进行销灰处理，即将其中未知的灰文件判断为已知的黑文件或者白文件。

作为本发明的另一实施例，根据共存率最高的第二被扫描文件的属性，确定第一被扫描文件的属性，具体还可以为在根据第一被扫描文件的内容或者程序行为等一系列鉴定逻辑对该文件为黑文件或者白文件进行判断的时候，将共存率高于预设阈值的第二被扫描文件的属性分布情况作为判断因素之一，综合通过鉴定逻辑判断的结果来精确对第一被扫描文件属性的判断。

在本发明实施例中，根据第二被扫描文件的属性确定第一被扫描文件的属性可以遵循以下原则：

1、高广度白文件一定吸引白文件。

其中，高广度文件指的是该文件对应的上报客户端的数量非常高，例如系统软件、常用软件等正规的白文件。通常，某个应用广泛的应用程序的主程序文件一定与该应用程序的相关组件文件在同一机器上的共存率最高，因此，与某白文件共存率最高的灰文件其属性为白文件的概率也最高。

2、黑文件多数会吸引黑文件，但小概率会吸引白文件。

基于与原则1相同的原理，与某黑文件共存率最高的灰文件其属性为黑文件的概率也最高。

需要说明的是，由于某些病毒文件可能会恶意推广一些正常的应用软件，导致这些正常的应用软件由于与病毒文件的共存率高而被认为是黑文件，因此在实际操作中，可能再根据文件的数字签名设置过滤规则，进一步地精确文件识别结果。

本发明实施例在由服务器对客户端上报的未知或者行为可疑的被扫描文件进行识别时，通过考察被扫描文件与其他文件共存于一台机器上的情况，根据共存率最高的文件的属性来确定被扫描文件的属性，进一步提高了服务器对被扫描文件识别的准确性，加强了对客户端的信息安全保障。

图5示出了本发明实施例提供的文件识别装置的结构框图，该装置位于服务器端，优先地，可以分布在云服务器中，用于运行本发明图1至图4实施例所述的文件识别方法。为了便于说明，仅示出了与本实施例相关的部分。

参照图5，该装置包括：

数据库建立单元51，根据客户端上报的扫描结果建立数据库，其中，数据库中记录了从扫描结果中提取的每个客户端的GUID及其上报的被扫描文件的校验码。

查询单元52，根据被扫描文件的校验码，分别在数据库中查询每个被扫描文件的上报客户端的GUID。

获取单元53，根据查询出的每个被扫描文件的上报客户端的GUID，分别获取第一被扫描文件与每个第二被扫描文件之间的共存率。

确定单元54，根据共存率高于预设阈值的第二被扫描文件的属性，确定第一被扫描文件的属性。

可选地，校验码包括MD5校验码或者Hash校验码。

可选地，获取单元53包括：

第一获取子单元，获取第一被扫描文件的上报客户端的第一数量。

第二获取子单元，获取第二被扫描文件的上报客户端的第二数量。

第一确定子单元，根据查询出的每个被扫描文件的上报客户端的GUID，确定同时上报了第一被扫描文件与第二被扫描文件的上报客户端的第三数量。

第二确定子单元，根据第一数量、第二数量及第三数量确定共存率。

可选地，第二确定子单元具体用于根据确定所述共存率，

其中，A为所述共存率，l为一个常量，可以由本领域技术人员根据实际情况确定，作为本发明的一个实现示例，l的取值可以为15，a为第一数量，b为第二数量，d为第三数量。

本发明实施例在由服务器对客户端上报的未知或者行为可疑的被扫描文件进行识别时，通过考察被扫描文件与其他文件共存于一台机器上的情况，根据共存率最高的文件的属性来确定被扫描文件的属性，进一步提高了服务器对被扫描文件识别的准确性，加强了对客户端的信息安全保障。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种文件识别方法，其特征在于，包括：

根据客户端上报的扫描结果建立数据库，所述数据库中记录了从所述扫描结果中提取的每个所述客户端的全球唯一标识符GUID及其上报的被扫描文件的校验码；

根据所述被扫描文件的校验码，分别在所述数据库中查询每个所述被扫描文件的上报客户端的GUID；

根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率；

根据所述共存率高于预设阈值的第二所述被扫描文件的属性，确定第一所述被扫描文件的属性，

其中，所述根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率包括：

获取第一所述被扫描文件的上报客户端的第一数量；

获取第二所述被扫描文件的上报客户端的第二数量；

根据查询出的每个所述被扫描文件的上报客户端的GUID，确定同时上报了第一所述被扫描文件与第二所述被扫描文件的上报客户端的第三数量；

根据所述第一数量、所述第二数量及所述第三数量确定所述共存率，

其中，所述根据所述第一数量、所述第二数量及所述第三数量确定所述共存率包括：

根据确定所述共存率，

其中，所述A为所述共存率，所述l为常量，所述a为第一数量，所述b为第二数量，所述d为第三数量。

2.如权利要求1所述的方法，其特征在于，所述校验码包括消息摘要算法第五版MD5校验码或者哈希Hash校验码。

3.一种文件识别装置，其特征在于，包括：

数据库建立单元，用于根据客户端上报的扫描结果建立数据库，所述数据库中记录了从所述扫描结果中提取的每个所述客户端的全球唯一标识符GUID及其上报的被扫描文件的校验码；

查询单元，用于根据所述被扫描文件的校验码，分别在所述数据库中查询每个所述被扫描文件的上报客户端的GUID；

获取单元，用于根据查询出的每个所述被扫描文件的上报客户端的GUID，分别获取第一所述被扫描文件与每个第二所述被扫描文件之间的共存率；

确定单元，用于根据所述共存率高于预设阈值的第二所述被扫描文件的属性，确定第一所述被扫描文件的属性，

其中，所述获取单元包括：

第一获取子单元，用于获取第一所述被扫描文件的上报客户端的第一数量；

第二获取子单元，用于获取第二所述被扫描文件的上报客户端的第二数量；

第一确定子单元，用于根据查询出的每个所述被扫描文件的上报客户端的GUID，确定同时上报了第一所述被扫描文件与第二所述被扫描文件的上报客户端的第三数量；

第二确定子单元，用于根据所述第一数量、所述第二数量及所述第三数量确定所述共存率，

其中，所述第二确定子单元具体用于根据确定所述共存率，

其中，所述A为所述共存率，所述l为常量，所述a为第一数量，所述b为第二数量，所述d为第三数量。

4.如权利要求3所述的装置，其特征在于，所述校验码包括消息摘要算法第五版MD5校验码或者哈希Hash校验码。

5.一种服务器，其特征在于，所述服务器包括如权利要求3或4所述的文件识别装置。

6.如权利要求5所述的服务器，其特征在于，所述服务器为云服务器。