CN103997490B - 未知文件样本安全性鉴定的方法及装置 - Google Patents

Abstract

本发明是关于一种未知文件样本安全性鉴定的方法及装置。其中，所述方法包括：接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；根据所述特征，查询所述未知文件样本是否在预设白名单中；若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。本发明实施例解决了现有技术中无法对未知文件进行安全性鉴定的问题，且鉴定结果可靠性高，能有效的降低未知文件对客户端安全性威胁的影响。

Description

未知文件样本安全性鉴定的方法及装置

技术领域

本发明涉及一种网络安全领域，特别是涉及一种未知文件样本安全性鉴定的方法及装置。

背景技术

恶意程序(通常称为病毒)指任何故意创建用来执行未经授权并通常是有害行为的程序。恶意程序包括：计算机病毒、后门程序、键盘记录器、密码盗取者、Word和Excel宏病毒、引导区病毒、脚本病毒、木马、犯罪软件、间谍软件和广告软件等。

现有云查杀技术大致如下：客户端不用建立病毒库，而主要负责扫描和发现本地的未知文件样本(即安全性不能确定的文件样本)；客户端提取扫描出的未知文件样本的特征，并上传至服务器端，通过查询服务器端的病毒库，来确定所述未知文件样本的安全性。

现有云查杀技术，由于服务器端的病毒库有限，很有可能出现如下问题：服务器端根据客户端上报的新文件特征通过查询病毒库也无法确定文件的安全性。这些无法确定安全的可疑文件中，可能是未知的木马和病毒，对客户端会造成极大的安全威胁。

发明内容

本发明的主要目的在于，提供一种未知文件样本安全性鉴定的方法及装置，以使鉴定结果可靠性高。

本发明第一个方面提供一种未知文件样本安全性鉴定的方法，包括：

接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

根据所述特征，查询所述未知文件样本是否在预设白名单中；

若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述特征包括：第一子特征和第二子特征；相应的，

所述根据所述特征，查询所述未知文件样本是否在预设白名单中，具体为：

根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果，具体为：

根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述第一子特征包括：文件的消息摘要算法第5版MD5信息及文件的安全哈希算法SHA1信息。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述第二子特征包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述安全性鉴定结果为鉴定分数；相应的，

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果之后，还包括：

判断所述鉴定分数是否大于或等于预设分数；

若大于或等于，则所述未知文件样本为安全文件；

否则，所述未知文件为不安全文件。

可选的，前述的未知文件样本安全性鉴定的方法，还包括：

接收客户端发送的更新数据包，并预加载所述更新数据包；

采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

若得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同，则加载所述更新数据包，以更新所述预设的鉴定策略。

本发明第二个方面提供一种未知文件样本安全性鉴定装置，该装置设置在服务器侧，其包括：

接收模块，用于接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

查询模块，用于根据所述特征，查询所述未知文件样本是否在预设白名单中；

鉴定模块，用于当未知文件样本不在预设白名单中时，根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定装置，其中，所述特征包括：第一子特征和第二子特征；相应的，

所述查询模块，具体用于根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述鉴定模块，具体用于根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定装置，其中，所述安全性鉴定结果为鉴定分数；相应的，所述未知文件样本安全性鉴定装置还包括：

判断模块，用于判断所述鉴定分数是否大于或等于预设分数，若大于或等于，则所述未知文件样本为不安全文件；否则，所述未知文件为安全文件。

可选的，前述的未知文件样本安全性鉴定装置，还包括：

预加载模块，用于接收客户端发送的更新数据包，并预加载所述更新数据包；

所述鉴定模块，还用于采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

加载模块，用于当得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同时，加载所述更新数据包，以更新所述预设的鉴定策略。

借由上述技术方案，本发明实施例提供的技术方案至少具有下列优点：

本发明实施例通过获取客户端上报的未知文件样本的特征，先根据该特征查询所述未知文件样本是否在预设白名单中，以降低误报率；再在未知文件样本不在预设白名单中时，根据所述未知文件样本的特征采用预设的鉴定策略对其进行安全性鉴定，解决了现有技术中无法对未知文件进行安全性鉴定的问题，且鉴定结果可靠性高，能有效的降低未知文件对客户端安全性威胁的影响。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，并可依照说明书的内容予以实施，以下以本发明的较佳实施例并配合附图详细说明如后。

附图说明

图1为本发明实施例一提供的未知文件样本安全性鉴定的方法的一种实现的流程示意图；

图2为本发明实施例一提供的未知文件样本安全性鉴定的方法的另一种实现的流程示意图；

图3本发明实施例一提供的未知文件样本安全性鉴定的方法中包含的更新流程的流程示意图；

图4为本发明实施例二提供的未知文件样本安全性鉴定装置的第一种实现的结构示意图；

图5为本发明实施例二提供的未知文件样本安全性鉴定装置的第二种实现的结构示意图；

图6为本发明实施例二提供的未知文件样本安全性鉴定装置的第三种实现的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例一提供的未知文件样本安全性鉴定的方法的流程示意图。如图1所示，本实施例一所述的方法的执行主体可以是云端服务器。例如，所述云端服务器安装有奇虎支持向量机(Qihoo Support Vector Machine，简称QVM)人工智能引擎。具体的，所述方法包括：

步骤101、接收客户端上报的携带有未知文件样本特征的上报信息。

其中，所述特征为所述客户端从所述未知文件样本中提取出的。所述特征可以具体包括：文件的消息摘要算法第五版MD5信息、文件的安全哈希算法SHA1信息、文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、文件特征FileDNA及图标特征IconDNA等等。

步骤102、根据所述特征，查询所述未知文件样本是否在预设白名单中。

其中，所述预设白名单预存储在所述云端服务器。具体的，所述预设白名单中存储有多个Key/Value(键/值)对，其中Key包括MD5信息和SHA1信息；Value包括：文件属性信息，文件的分类、文件的安全性级别等。所述文件的安全性级别中包含有文件的级别和子级别。

步骤103、若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

这里需要说明的是：本发明中各实施例所述的未知文件样本是采用现有云查杀技术无法获取到对应安全性级别的文件样本。

本实施例通过获取客户端上报的未知文件样本的特征，先根据该特征查询所述未知文件样本是否在预设白名单中，以降低误报率；再在未知文件样本不在预设白名单中时，根据所述未知文件样本的特征采用预设的鉴定策略对其进行安全性鉴定，解决了现有技术中无法对未知文件进行安全性鉴定的问题，且鉴定结果可靠性高，能有效的降低未知文件对客户端安全性威胁的影响。

进一步的，上述实施例中所述特征包括第一子特征和第二子特征。相应的，上述实施例中所述步骤102具体为：根据所述第一子特征，查询所述未知文件样本是否在预设白名单中。所述步骤103具体为：根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

实际应用中，所述的第一子特征可具体包括：文件的MD5信息及文件的SHA1信息。所述第二子特征可以为从所述未知文件样本中抽取出的42K或20K大小的数据(该数据亦可以称为Bolebuffer)。具体的，所述第二子特征可以具体包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA等等。

进一步的，上述实施例中所述的安全性鉴定结果为鉴定分数。相应的，如图2所示，上述实施例中步骤103具体为：若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出鉴定分数。并且，上述步骤103之后，还包括：

步骤104、判断所述鉴定分数是否大于或等于预设分数，若大于或等于，则所述未知文件样本为不安全文件；否则，所述未知文件为安全文件。

其中，所述预设分数为一个经验值，即通过对多个已知安全性的文件采用所述预设的鉴定策略进行安全性鉴定，并根据得出的各鉴定分数及对应文件的已知安全性，统计分析出的一个经验值。例如，云端服务器的QVM人工智能引擎根据从所述未知文件样本中提取出的特征，对所述位置文件样本进行安全性鉴定，得出的安全性鉴定结果为鉴定分数100。假设预设分数为520，则该未知文件样本为安全文件。

再进一步的，由于网络中总是有新的病毒出现，因此随着病毒的不断更新和发展，云端服务器也应不断的更新其用于鉴定文件样本安全性的所述预设的鉴定策略。具体的，所述预设的鉴定策略可以表现为具有自学习能力的程序。由此，如图3所示，上述实施例所述的方法除包括上述各步骤外，还包括如下更新流程：

步骤201、接收客户端发送的更新数据包，并预加载所述更新数据包。

步骤202、采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果。

步骤203、若得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同，则加载所述更新数据包，以更新所述预设的鉴定策略。

这里需要补充的是：为了后续正确判断出是否加载所述更新数据包，进行鉴定的所述已知文件样本应该具有一定的数量(例如几十或上百个)，且这些已知文件样本中包括安全文件及不安全文件。

需要说明的是：对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

如图4所示，本发明实施例二提供的未知文件样本安全性鉴定装置的结构示意图。本实施例二所述的装置可设置在服务器侧，具体的，所述未知文件样本安全性鉴定装置可设置在云端服务器中。如图4所示，本实施例所述的装置包括：接收模块1、查询模块2和鉴定模块3。其中，所述接收模块1用于接收客户端上报的携带有未知文件样本特征的上报信息，所述特征为所述客户端从所述未知文件样本中提取出的。所述查询模块2用于根据所述特征，查询所述未知文件样本是否在预设白名单中。所述鉴定模块3用于当未知文件样本不在预设白名单中时，根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

本发明实施例通过获取客户端上报的未知文件样本的特征，先根据该特征查询所述未知文件样本是否在预设白名单中，以降低误报率；再在未知文件样本不在预设白名单中时，根据所述未知文件样本的特征采用预设的鉴定策略对其进行安全性鉴定，解决了现有技术中无法对未知文件进行安全性鉴定的问题，且鉴定结果可靠性高，能有效的降低未知文件对客户端安全性威胁的影响。

进一步的，上述实施例中所述的从所述未知文件样本中提取出的特征包括第一子特征和第二子特征。具体的，所述第一子特征包括：文件的MD5信息及文件的SHA1信息。第二子特征包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA。相应的，上述实施例中所述的查询模块，具体用于根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；所述鉴定模块，具体用于根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

通过采用上述第一子特征进行白名单的查询，采用第二子特征进行安全性的鉴定，可有效的避免现有技术中恶意程序为绕开云查杀中心的服务器的检测，通过会改变自身的一些特征信息，已达到不被检测出来的目的，进而会出现检测中漏判恶意程序的问题，进而提高了文件样本安全性鉴定的正确率。

再进一步的，上述实施例中所述的安全性鉴定结果可以是鉴定分数。相应的，如图5所示，所述未知文件样本安全性鉴定装置还包括：判断模块4。具体的，所述判断模块4用于判断所述鉴定分数是否大于或等于预设分数，若大于或等于，则所述未知文件样本为不安全文件；否则，所述未知文件为安全文件。

如图6所示，上述实施例所述的未知文件样本安全性鉴定装置还包括：预加载模块5和加载模块6。其中，所述预加载模块5用于接收客户端发送的更新数据包，并预加载所述更新数据包。相应的，上述实施例所述的鉴定模块3还用于采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果。所述加载模块6用于当得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同时，加载所述更新数据包，以更新所述预设的鉴定策略。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

可以理解的是，上述方法及交换机中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种未知文件样本安全性鉴定的方法，其特征在于，包括：

接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

根据所述特征中的第一子特征，查询所述未知文件样本是否在预设白名单中，所述预设白名单中存储有多个键/值对，其中键包括MD5信息和SHA1信息，值包括：文件属性信息，文件的分类、文件的安全性级别；

若不在所述预设白名单中，则根据所述特征中的第二子特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果；

接收客户端发送的更新数据包，并预加载所述更新数据包；

采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

若得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同，则加载所述更新数据包，以更新所述预设的鉴定策略。

2.根据权利要求1所述的方法，其特征在于，所述第一子特征包括：文件的消息摘要算法第5版MD5信息及文件的安全哈希算法SHA1信息。

3.根据权利要求1所述的方法，其特征在于，所述第二子特征包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA。

4.根据权利要求1～3中任一所述的方法，其特征在于，所述安全性鉴定结果为鉴定分数；相应的，

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果之后，还包括：

判断所述鉴定分数是否大于或等于预设分数；

若大于或等于，则所述未知文件样本为安全文件；

否则，所述未知文件为不安全文件。

5.一种未知文件样本安全性鉴定装置，其特征在于，设置在服务器侧，其包括：

接收模块，用于接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

查询模块，用于根据所述特征中的第一子特征，查询所述未知文件样本是否在预设白名单中，所述预设白名单中存储有多个键/值对，其中键包括MD5信息和SHA1信息，值包括：文件属性信息，文件的分类、文件的安全性级别；

鉴定模块，用于当未知文件样本不在预设白名单中时，根据所述特征中的第二子特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果；

预加载模块，用于接收客户端发送的更新数据包，并预加载所述更新数据包；

所述鉴定模块，还用于采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

加载模块，用于当得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同时，加载所述更新数据包，以更新所述预设的鉴定策略。

6.根据权利要求5所述的装置，其特征在于，所述安全性鉴定结果为鉴定分数；相应的，所述未知文件样本安全性鉴定装置还包括：

判断模块，用于判断所述鉴定分数是否大于或等于预设分数，若大于或等于，则所述未知文件样本为不安全文件；否则，所述未知文件为安全文件。