CN107437027A - 恶意代码快速查询和检测的系统与方法 - Google Patents

Abstract

本发明公开了一种恶意代码快速查询和检测的系统与方法，通过采取按不同方式排列恶意代码特征库的索引，如按权重，按热门，按预测新颖等，用分布式的系统进行同步的查询。同时对已查对的文件进行存储，也按不同方式对已查询文件建立索引，如按权重，按热门，频率等，用分布式的系统进行同步查询。这样提高了恶意代码快速查询和检测效率，方便用户更高效，快速查询捕获到恶意代码。

Description

恶意代码快速查询和检测的系统与方法

技术领域

本发明涉及安全领域，具体涉及一种恶意代码快速查询和检测的系统与方法。

背景技术

随着互联网的不断普及，互联网已引领社会的潮流，成为人民生活中不可缺少的部分。但是互联网安全也越来越成为威胁用户安全的问题，无论个人电脑还是移动终端，各种恶意代码层出不穷。快速，高效的检测出文件中是否含有恶意代码，是保障用户安全的关键。发现恶意代码越早越快越及时，对用户的损失和系统的破坏也就越小。

发明内容

本发明克服了现有技术的不足，提供一种恶意代码快速查询和检测的系统与方法，旨在提高恶意代码快速查询和检测效率。

考虑到现有技术的上述问题，根据本发明公开的一个方面，本发明采用以下技术方案：

一种恶意代码快速查询和检测的系统，包括：

提取疑似恶意代码特征值模块，用于对文件进行分析，提取疑似恶意代码；

恶意代码检测模块，用于根据提取疑似恶意代码特征值模块提取的特征值，按不同排序方式进行同步比对查询，检测出该特征值是否属于恶意代码的特征值；

恶意代码预测模块，用于将恶意代码在模拟环境下进行诱导演化，形成新的恶意代码，然后提取新生成恶意代码的特征值，保存在新恶意代码特征值库中；

文件分析查询模块，用于对已分析的文件结果进行存储，用户再次分析文件时，对已分析的文件结果进行查找，如果该文件已检测过，直接反馈用户结果。

为了更好地实现本发明，进一步的技术方案是：

根据本发明的一个实施方案，所述提取疑似恶意代码特征值模块包括：

静态分析单元，用于判断文件是否含有疑似恶意二进制的代码；

动态分析单元，用于分析文件运行时是否会含有恶意代码的执行；

行为分析单元，用于将文件至于虚拟环境中运行，检测行为是否符合恶意代码的行为特征，并提取特征值；

语义分析单元，用于根据文件中所含有的语义表述，检测是否含有恶意代码的行为特征。

根据本发明的另一个实施方案，所述恶意代码检测模块，以恶意代码数据库为基础，提取索引并建立索引数据库。

根据本发明的另一个实施方案，所述提取索引的方式包括按社会关注度排序，按危害程度排序，按首次出现时间排序，按爆发频次排序，按时间危害程度社会关注度加权平均排序。

根据本发明的另一个实施方案，所述按时间危害程度社会关注度加权平均排序的算法为：

SORT＝T×a1+L×a2+S×a3+F×a4

其中，T代表首次出现时间排序表值，出现时间离现在越近，值就越大；

L代表危害程度排序表值，危害程度越大，值就越大；

S代表社会关注度表值，社会关注度越高，值就越大；

F代表病毒爆发的频次，爆发率越高，值就越大；

a1、a2、a3、a4为权重值，a1+a2+a3+a4＝100％；

SORT为加权值，值越大排序就越靠前。

根据本发明的另一个实施方案，所述文件分析查询模块将文件分析结果存储在文件分析数据库中，与文件的哈希值对应存储。

根据本发明的另一个实施方案，所述文件分析检测模块以文件分析数据库为基础，以不同排序方式进行索引建立索引数据库。

根据本发明的另一个实施方案，所述不同排序方式包括按热门，按频率，按文件MD5值字母顺序，按文件大小，按权重。

根据本发明的另一个实施方案，所述权重算法为：

SORT＝F×a1+L×a2+S×a3

其中，F代表文件请求分析的频次，频次越多，值就越大；

L代表按文件MD5值字母顺序；

S代表文件大小，按区间法，第一区间排序最优先；

a1、a2、a3为权重值，a1+a2+a3＝100％；

SORT为权重值，值越大排序就越靠前。

本发明还可以是：

一种恶意代码快速查询和检测的方法，包括：

将需分析的文件提交到提取疑似恶意代码特征值模块；

提取疑似恶意代码特征值模块分析文件，获取文件特征值和疑似恶意代码特征值；

疑似恶意代码特征值模块将文件特征值交付由文件分析查询模块查询文件是否已分析过，如果分析过直接获取结果，并更新分析该文件的次数；以及

将疑似恶意代码特征值交付恶意代码预测模块，恶意代码检测模块检测特征值是否符合恶意代码特征，并将结果保存在文件分析数据库中。

与现有技术相比，本发明的有益效果之一是：

本发明的一种恶意代码快速查询和检测的系统与方法，通过采取按不同方式排列恶意代码特征库的索引，如按权重，按热门，按预测新颖等，用分布式的系统进行同步的查询。同时对已查对的文件进行存储，也按不同方式对已查询文件建立索引，如按权重，按热门，频率等，用分布式的系统进行同步查询。这样提高了恶意代码快速查询和检测效率，方便用户更高效，快速查询捕获到恶意代码。

附图说明

为了更清楚的说明本申请文件实施例或现有技术中的技术方案，下面将对实施例或现有技术的描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅是对本申请文件中一些实施例的参考，对于本领域技术人员来讲，在不付出创造性劳动的情况下，还可以根据这些附图得到其它的附图。

图1为根据本发明一个实施例的恶意代码检测模块布局示意图。

图2为根据本发明一个实施例的文件分析查询布局示意图。

图3为根据本发明一个实施例的恶意代码快速查询和检测系统流程示意图。

具体实施方式

下面结合实施例对本发明作进一步地详细说明，但本发明的实施方式不限于此。

本发明的恶意代码快速查询和检测的系统和方法，涉及威胁态势感知平台和恶意代码检测分析平台中对文件进行深度分析的功能模块。用户可使用本发明的系统对文件进行深度分析，从而快速、高效的获得文件是否具有恶意或威胁的结论。其中，由四个模块组成恶意代码快速查询和检测的系统，包含恶意代码预测模块，文件分析查询模块，恶意代码检测模块，提取疑似恶意代码特征值模块。

各部份的功能如下：

提取疑似恶意代码特征值模块，主要功能是将文件进行分析，提取疑似恶意代码。模块采用的方法有静态分析、动态分析、行为分析、语义分析。经过上述分析后，提取疑似恶意代码特征值。静态分析主要是采用走查文件的二进制，判断文件是否含有疑似恶意二进制的代码。动态分析是分析文件运行时是否会含有恶意代码的执行。行为分析是将文件至于虚拟环境中运行，检测行为是否符合恶意代码的行为特征，并提取特征值。语义分析是根据文件中的所含有的语义表述，检测是否含有恶意代码的行为特征。这个模块主要是利用或嵌入现有成熟的第三方软件和第三方库进行特征值的提取。

恶意代码检测模块是根据提取疑似恶意代码特征值模块提取的特征值，按不同排序方式进行同步比对查询，检测出该特征值是否属于恶意代码的特征值。恶意代码检测模块是以恶意代码数据库为基础，以不同方式再进行提取索引建立索引数据库。采取的方式有按社会关注度排序，按危害程度排序，按首次出现时间排序，按爆发频次排序，按时间危害程度社会关注度加权平均排序。其中时间、危害程度、社会关注度、爆发频次加权平均算法规则如下：

SORT＝T×a1+L×a2+S×a3+F×a4

T代表首次出现时间排序表值，出现时间离现在越近，值就越大；

L代表危害程度排序表值，危害程度越大，值就越大；

S代表社会关注度表值，社会关注度越高，值就越大；

F代表病毒爆发的频次，爆发率越高，值就越大；

a1、a2、a3、a4为权重值，a1+a2+a3+a4＝100％；

SORT为加权值，值越大排序就越靠前。其中，恶意代码检测模块分布式布局如图1所示。

文件分析查询模块是对已分析的文件结果进行存储，用户再次分析文件时，可对已分析的文件结果进行查找，如果该文件已检测过，可直接反馈用户结果。文件分析结果存储在文件分析数据库中，与文件的哈希值如MD5值，对应存储。文件分析检测模块以文件分析数据库为基础，以不同排序方式进行索引建立索引数据库。采取的方式有按热门，按频率，按文件MD5值字母顺序，按文件大小，按权重。文件大小排序采用区间法，5k到3G的文件为第一区间按从大到小排序，低于5k的文件为第二区间按从大到小排序，超过3G的文件为第三区间按从小到大排序。权重算法规则如下：

SORT＝F×a1+L×a2+S×a3

F代表文件请求分析的频次，频次越多，值就越大；

L代表按文件MD5值字母顺序；

S代表文件大小，按区间法，第一区间排序最优先；

a1、a2、a3为权重值，a1+a2+a3＝100％；

SORT为权重值，值越大排序就越靠前；其中，文件分析查询模块分布式布局如图2所示。

恶意代码预测模块是将危害程度大、社会关注度高、加权值大的恶意代码在模拟环境下进行诱导演化，形成新的恶意代码，然后提取新生成恶意代码的特征值，保存在新恶意代码特征值库中。当新的恶意代码出现时，本系统可以提前检测出该恶意代码。

恶意代码快速查询和检测系统的主要流程是：

1、用户将需分析的文件提交到提取疑似恶意代码特征值模块。

2、提取疑似恶意代码特征值模块分析文件，获取文件特征值如MD5值，疑似恶意代码特征值等信息。

3、疑似恶意代码特征值模块将文件特征值交付由文件分析查询模块查询文件是否已分析过，如果分析过直接获取结果，并更新分析该文件的次数；同时将疑似恶意代码特征值交付恶意代码预测模块，恶意代码检测模块检测特征值是否符合恶意代码特征。同时将结果保存在文件分析数据库中。其中，恶意代码快速查询和检测系统流程图如图3所示。

综上，本发明通过采用对恶意代码特征值的索引进行不同方式的排序，如按加权值、关注度、热门、新颖性等分别建立分布式查询库，方便查询比对恶意代码。同时，对已查寻过的文件，提取文件特征值，并建立索引，再按加权值、关注度、热门、频率等分别建立分布式查询库，方便查询比对含有恶意代码的文件。

在本说明书中所谈到的“一个实施例”、“另一个实施例”、“实施例”、等，指的是结合该实施例描述的具体特征、结构或者特点包括在本申请概括性描述的至少一个实施例中。在说明书中多个地方出现同种表述不是一定指的是同一个实施例。进一步来说，结合任一实施例描述一个具体特征、结构或者特点时，所要主张的是结合其他实施例来实现这种特征、结构或者特点也落在本发明的范围内。

尽管这里参照本发明的多个解释性实施例对本发明进行了描述，但是，应该理解，本领域技术人员可以设计出很多其他的修改和实施方式，这些修改和实施方式将落在本申请公开的原则范围和精神之内。更具体地说，在本申请公开和权利要求的范围内，可以对主题组合布局的组成部件和/或布局进行多种变型和改进。除了对组成部件和/或布局进行的变型和改进外，对于本领域技术人员来说，其他的用途也将是明显的。

Claims (10)

1.一种恶意代码快速查询和检测的系统，其特征在于包括：

提取疑似恶意代码特征值模块，用于对文件进行分析，提取疑似恶意代码；

恶意代码检测模块，用于根据提取疑似恶意代码特征值模块提取的特征值，按不同排序方式进行同步比对查询，检测出该特征值是否属于恶意代码的特征值；

恶意代码预测模块，用于将恶意代码在模拟环境下进行诱导演化，形成新的恶意代码，然后提取新生成恶意代码的特征值，保存在新恶意代码特征值库中；

文件分析查询模块，用于对已分析的文件结果进行存储，用户再次分析文件时，对已分析的文件结果进行查找，如果该文件已检测过，直接反馈用户结果。

2.根据权利要求1所述的恶意代码快速查询和检测的系统，其特征在于所述提取疑似恶意代码特征值模块包括：

静态分析单元，用于判断文件是否含有疑似恶意二进制的代码；

动态分析单元，用于分析文件运行时是否会含有恶意代码的执行；

行为分析单元，用于将文件至于虚拟环境中运行，检测行为是否符合恶意代码的行为特征，并提取特征值；

语义分析单元，用于根据文件中所含有的语义表述，检测是否含有恶意代码的行为特征。

3.根据权利要求1所述的恶意代码快速查询和检测的系统，其特征在于所述恶意代码检测模块，以恶意代码数据库为基础，提取索引并建立索引数据库。

4.根据权利要求3所述的恶意代码快速查询和检测的系统，其特征在于所述提取索引的方式包括按社会关注度排序，按危害程度排序，按首次出现时间排序，按爆发频次排序，按时间危害程度社会关注度加权平均排序。

5.根据权利要求4所述的恶意代码快速查询和检测的系统，其特征在于所述按时间危害程度社会关注度加权平均排序的算法为：

SORT＝T×a1+L×a2+S×a3+F×a4

其中，T代表首次出现时间排序表值，出现时间离现在越近，值就越大；

L代表危害程度排序表值，危害程度越大，值就越大；

S代表社会关注度表值，社会关注度越高，值就越大；

F代表病毒爆发的频次，爆发率越高，值就越大；

a1、a2、a3、a4为权重值，a1+a2+a3+a4＝100％；

SORT为加权值，值越大排序就越靠前。

6.根据权利要求1所述的恶意代码快速查询和检测的系统，其特征在于所述文件分析查询模块将文件分析结果存储在文件分析数据库中，与文件的哈希值对应存储。

7.根据权利要求6所述的恶意代码快速查询和检测的系统，其特征在于所述文件分析检测模块以文件分析数据库为基础，以不同排序方式进行索引建立索引数据库。

8.根据权利要求7所述的恶意代码快速查询和检测的系统，其特征在于所述不同排序方式包括按热门，按频率，按文件MD5值字母顺序，按文件大小，按权重。

9.根据权利要求8所述的恶意代码快速查询和检测的系统，其特征在于所述权重算法为：

SORT＝F×a1+L×a2+S×a3

其中，F代表文件请求分析的频次，频次越多，值就越大；

L代表按文件MD5值字母顺序；

S代表文件大小，按区间法，第一区间排序最优先；

a1、a2、a3为权重值，a1+a2+a3＝100％；

SORT为权重值，值越大排序就越靠前。

10.一种恶意代码快速查询和检测的方法，其特征在于包括：

将需分析的文件提交到提取疑似恶意代码特征值模块；

提取疑似恶意代码特征值模块分析文件，获取文件特征值和疑似恶意代码特征值；

疑似恶意代码特征值模块将文件特征值交付由文件分析查询模块查询文件是否已分析过，如果分析过直接获取结果，并更新分析该文件的次数；以及

将疑似恶意代码特征值交付恶意代码预测模块，恶意代码检测模块检测特征值是否符合恶意代码特征，并将结果保存在文件分析数据库中。