CN108875364A - 未知文件的威胁性判定方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明的实施例公开一种未知文件的威胁性判定方法、装置、电子设备及存储介质，涉及计算机安全技术领域，能够较快地确定未知文件的威胁性。所述未知文件的威胁性判定方法，应用于服务器，所述方法包括：接收对与未知文件相关联的标签的输入操作；根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；根据所述已知事件的威胁性确定所述未知文件的威胁性。本发明适用于对未知文件的威胁性进行判定的场合。

Description

未知文件的威胁性判定方法、装置、电子设备及存储介质

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种未知文件的威胁性判定方法、装置、电子设备及存储介质。

背景技术

随着勒索软件，蠕虫软件的盛行，主机安全越发凸显其重要性，在瞬息万变的互联网时代，日益增长的恶意代码文件数量以及相关恶意文件形成的拓扑化攻击已经成为主机安全重点防范形式，针对种种威胁，如何快速在主机中将未知文件的威胁与否判断出来，是亟待解决的技术问题。

发明内容

有鉴于此，本发明实施例提供一种未知文件的威胁性判定方法、装置、电子设备及存储介质，能够较快地确定未知文件的威胁性。

第一方面，本发明实施例提供一种未知文件的威胁性判定方法，应用于服务器，所述方法包括：接收对与未知文件相关联的标签的输入操作；根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；根据所述已知事件的威胁性确定所述未知文件的威胁性。

可选地，在接收对与未知文件相关联的标签的输入操作之前，所述方法还包括：将所述未知文件与标签相关联。

可选地，所述将所述未知文件与标签相关联，包括：接收客户端上报的未知文件；判断所述未知文件是否为恶意文件；若所述未知文件为恶意文件，提取所述未知文件的属性信息；根据所述未知文件的属性信息，将所述未知文件与标签相关联。

可选地，在接收对与未知文件相关联的标签的输入操作之前，所述方法包括：将已知事件进行标签化关联并存储于搜索存储系统中。

可选地，所述将已知事件进行标签化关联并存储于搜索存储系统中，包括：获取已知事件的属性信息；将所述已知事件的属性信息与标签相关联；将所述已知事件的属性信息及与其相关联的标签形成文档存储在搜索存储系统中的索引库中。

第二方面，本发明实施例提供未知文件的威胁性判定装置，应用于服务器，所述装置包括：接收模块，用于接收对与未知文件相关联的标签的输入操作；检索模块，用于根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；判定模块，用于根据所述已知事件的威胁性确定所述未知文件的威胁性。

可选地，所述的威胁性判定装置，还包括：第一关联模块，用于将所述未知文件与标签相关联。

可选地，所述第一关联模块，具体用于：接收客户端上报的未知文件；判断所述未知文件是否为恶意文件；若所述未知文件为恶意文件，提取所述未知文件的属性信息；根据所述未知文件的属性信息，将所述未知文件与标签相关联。

可选地，所述的威胁性判定装置，还包括：第二关联模块，用于将已知事件进行标签化关联并存储于搜索存储系统中。

可选地，所述第二关联模块，具体用于：获取已知事件的属性信息；将所述已知事件的属性信息与标签相关联；将所述已知事件的属性信息及与其相关联的标签形成文档存储在搜索存储系统中的索引库中。

第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施方式所述的方法。

第四方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实施方式所述的方法。

本发明实施例提供的一种未知文件的威胁性判定方法、装置、电子设备及存储介质，可根据与未知文件相关联的标签，在预先建立的搜索存储系统中进行标签化检索，查找与所述标签相关联的已知事件，根据所述已知事件的威胁性确定所述未知文件的威胁性，这样可对未知文件的威胁性进行快速判定。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例一未知文件的威胁性判定方法流程示意图；

图2为本发明实施例二未知文件的威胁性判定方法流程示意图；

图3为本发明实施例三未知文件的威胁性判定装置的结构示意图；

图4为本发明实施例四未知文件的威胁性判定装置的结构示意图；

图5为本发明电子设备一个实施例的结构示意图。

具体实施方式

下面结合附图对本发明实施例进行详细描述。

应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

实施例一

本实施例提供一种未知文件的威胁性判定方法，以对未知文件的威胁性进行快速判定。

图1为本发明实施例一未知文件的威胁性判定方法流程示意图，如图1所示，本实施例的方法应用于服务器，所述方法可以包括：

步骤101、接收对与未知文件相关联的标签的输入操作。

通过对一文件添加标签，或者将一文件与标签相关联，可将该文件归入某一类，而不是将其视为一个独特的个体。

本实施例中，可利用标签在预先建立的搜索存储系统中进行标签化检索，以查找与该标签相关联的内容。

可通过人机交互接口接收与未知文件相关联的标签的输入操作。

步骤102、根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件。

本实施例中，在预先建立的搜索存储系统中存储有已知事件的属性信息及与其相关联的标签。

根据所述标签可在所述搜索存储系统中进行检索，查找与所述标签相关联的已知事件。

步骤103、根据所述已知事件的威胁性确定所述未知文件的威胁性。

本实施例中，已知事件的威胁性是已知的，因此可根据所述已知事件的威胁性确定所述未知文件的威胁性，即可将所述已知事件的威胁性确定为所述未知文件的威胁性。

本实施例提供的未知文件的威胁性判定方法，可根据与未知文件相关联的标签，在预先建立的搜索存储系统中进行标签化检索，查找与所述标签相关联的已知事件，根据所述已知事件的威胁性确定所述未知文件的威胁性，这样可对未知文件的威胁性进行快速判定。

实施例二

图2为本发明实施例二未知文件的威胁性判定方法流程示意图，如图2所示，本实施例的方法可包括：

步骤201、建立搜索存储系统。

本实施例中，可在服务器端建立基于Elasticsearch的搜索存储系统。Elasticsearch是一种开源化全文内容检索工具，是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，其可分布式部署在需要防护的网段内。应当理解的是，在其它实施例中，也可采用其它搜索引擎来建立搜索存储系统。

步骤202、将已知事件进行标签化关联并存储于所述搜索存储系统中。

对于已知事件，即已被披露的事件，诸如APT(Advanced Persistent Threat，高级持续性威胁)攻击或其他突发事件，其属性信息是已知的。所述高级持续性威胁是指组织(特别是政府)或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。

其中，所述已知事件的属性信息是指与该已知事件相关的一些指标数据信息，也可称为特征信息，或称为信标(indicator of compromise，ioc)。具体地，这些属性信息可包括事件的组织者名称、事件名称、攻击手法等。

获知了某个已知事件的上述属性信息后，可形成相关标签，比如可形成与事件发起者的组织名称、事件名称、攻击途径等相关的标签。

比如，对于勒索病毒事件，与其相关的标签可以有：与事件的组织者名称相关的标签为XX黑客组织，与事件名称相关的标签为勒索病毒，与攻击手法相关的标签为文件加密，与攻击途径相关的标签为邮件传播，具体如下表：

标签
	XX黑客组织
勒索病毒
	文件加密
邮件传播

同一事件可有多个标签。不同事件可有相同的标签，比如有均有邮件传播标签。

进一步地，还可通过对已知事件的信息做进一步细化或拆分，为已知事件增加更具体的标签。比如，对于同一已知事件，随着时间的推移，其攻击手法可能会不一样，这样，可就不同时期的攻击手法分别形成标签。

对于一已知事件，可将该已知事件的有关信息及相关标签形成一个文档存储在搜索存储系统中的索引库中，一个文档相当于一条数据。有多个已知事件，就对应形成多个文档。已知事件的有关信息可包括已知事件的名称、发生日期、是否具有危险性及危险程度等信息。

在建立搜索存储系统，并在搜索存储系统中存储已知事件有关信息及其对应的标签之后，就可利用该搜索存储系统对新发现的未知文件进行威胁性判定。

步骤203、防护软件客户端在需要防护的网段内进行监控。

防护软件客户端安装在需要防护的网段内的主机上，开启主动防御模式后，可对所述主机进行监控。

步骤204、判断是否为未知文件。

当监控到有文件在主机内下载或生成时，所述客户端判断所述文件是已知文件或是未知文件，具体来讲，所述客户端可通过哈希值校验的方式，来判断所述文件是已知文件或是未知文件。

若所述文件是已知文件，则返回执行步骤203，若所述文件是未知文件，则执行步骤205。

步骤205、客户端将未知文件进行上报至服务器。

步骤206、服务器判断所述未知文件是否为恶意文件。

服务器可通过将接收到的客户端上报的未知文件的信息，与文件数据库对比的方式，判断所述未知文件是否为恶意文件，所述文件数据库中保存有合法文件信息。

经过判断，若所述文件为合法文件，则放弃后续操作，若所述文件为恶意文件，则执行步骤207。

步骤207、将所述未知文件与标签相关联。

将所述未知文件与标签相关联，具体可包括如下步骤：

获取所述未知文件的属性信息。这里的属性信息可以是与未知文件有关的静态信息，即不通过运行文件就可以得到的信息，比如可通过工具提取未知文件的创建时间、所有者、文件类型等静态信息。

示例性的，通过工具提取到一未知文件A的创建时间是2016年5月10日、所有者为XX黑客组织、文件类型为可执行文件。

根据未知文件A的属性信息，将所述未知文件A与标签相关联，如将所述未知文件A与现有的XX黑客组织标签相关联。

步骤208、判定所述未知文件的威胁程度。

可根据与所述未知文件相关联的标签，判定所述未知文件的威胁程度。具体地，在将所述未知文件与标签相关联之后，可通过标签化检索的方式，查找与所述未知文件相关联的标签下是已知事件，并根据查找到的所述已知事件的威胁性来确定所述未知文件的威胁性，比如，所述已知事件为高威胁性事件，则可确定所述未知文件为高威胁性文件。

仍以上述文件A为例，根据步骤207，已将未知文件A与现有的XX黑客组织标签相关联，本步骤中，可利用XX黑客组织标签进行检索，得到与该XX黑客组织标签相关联的已知事件：勒索病毒事件。由于勒索病毒事件和未知文件A中均有共同的XX黑客组织标签，因此，通过该XX黑客组织标签，将未知文件A与勒索病毒事件相关联，由此，可根据勒索病毒事件的威胁性来确定未知文件A的威胁性。

进一步的，还可根据已知事件的威胁程度来确定未知文件A的威胁程度。

步骤209、将未知文件的文件信息及相关联的标签保存至搜索存储系统中。

示例性的，可将未知文件的文件信息及相关联的标签形成文件后保存至搜索存储系统中的索引库中，这样可为后续标签化检索提供数据支撑。

本实施例提供的威胁性判定方法，可根据与未知文件相关联的标签，在预先建立的搜索存储系统中进行标签化检索，查找与所述标签相关联的已知事件，根据所述已知事件的威胁性确定所述未知文件的威胁性，这样可对未知文件的威胁性进行快速判定。

实施例三

图3为本发明实施例三未知文件的威胁性判定装置的结构示意图。参看图3，本实施例的未知文件的威胁性判定装置，应用于服务器，所述装置可包括：接收模块31、检索模块32和判定模块33。

其中，所述接收模块31，用于接收对与未知文件相关联的标签的输入操作；所述检索模块32，用于根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；所述判定模块33，用于根据所述已知事件的威胁性确定所述未知文件的威胁性。

本实施例的装置，可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

实施例四

图4为本发明实施例四未知文件的威胁性判定装置的结构示意图。参看图4，本实施例的装置，在图3所示装置的基础上，还可包括：第一关联模块34，用于将所述未知文件与标签相关联。

所述第一关联模块34，可具体用于：接收客户端上报的未知文件；判断所述未知文件是否为恶意文件；若所述未知文件为恶意文件，提取所述未知文件的属性信息；根据所述未知文件的属性信息，将所述未知文件与标签相关联。

可选地，本实施例的装置，还可包括：第二关联模块35，用于将已知事件进行标签化关联并存储于搜索存储系统中。

可选地，所述第二关联模块35，可具体用于：获取已知事件的属性信息；将所述已知事件的属性信息与标签相关联；将所述已知事件的属性信息及与其相关联的标签形成文档存储在搜索存储系统中的索引库中。

本实施例的装置，可以用于执行图2所示方法实施例的部分技术方案，其实现原理和技术效果类似，此处不再赘述。

本发明上述各实施例可用于保护主机安全。主机安全，其核心内容可包括安全应用交付系统、应用监管系统、操作系统安全增强系统和运维安全管控系统。它的具体功能是指保证主机在数据存储和处理的保密性、完整性，可用性，它包括硬件、固件、系统软件的自身安全，以及一系列附加的安全技术和安全管理措施，从而建立一个完整的主机安全保护环境。

当主机防护软件进行扫描时，发现了一未知文件，需要迅速判定该未知文件是否具有威胁性，但此时因网络不畅通等原因，无法快速的采用对照扫描等手段进行检测以确定此未知文件的威胁性，根据文件的属性进行哈希对比，将结果与标签相关联，根据标签化的已知事件或属性进行判定，从而检测判定未知文件是否具有威胁，以及威胁的程度等。

在上述各实施例中，可以无限制扩容搜索存储系统，增加检索的维度和广度，可以不区分任何平台进行文件判定，基于标签化的检索，无平台依赖性，有很好的部署方案和检索能力，提高未知威胁文件的检测能力。

本发明实施例还提供一种电子设备，图5为本发明电子设备一个实施例的结构示意图，可以实现本发明图1-2所示实施例的流程，如图5所示，上述电子设备可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的判定方法。

处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1-2所示实施例的描述，在此不再赘述。

该电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子设备。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一权利要求所述的方法。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种未知文件的威胁性判定方法，其特征在于，应用于服务器，所述方法包括：

接收对与未知文件相关联的标签的输入操作；

根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；

根据所述已知事件的威胁性确定所述未知文件的威胁性。

2.根据权利要求1所述的威胁性判定方法，其特征在于，在接收对与未知文件相关联的标签的输入操作之前，所述方法还包括：

将所述未知文件与标签相关联。

3.根据权利要求1所述的威胁性判定方法，其特征在于，所述将所述未知文件与标签相关联，包括：

接收客户端上报的未知文件；

判断所述未知文件是否为恶意文件；

若所述未知文件为恶意文件，提取所述未知文件的属性信息；

根据所述未知文件的属性信息，将所述未知文件与标签相关联。

4.根据权利要求1所述的威胁性判定方法，其特征在于，在接收对与未知文件相关联的标签的输入操作之前，所述方法包括：

将已知事件进行标签化关联并存储于搜索存储系统中。

5.根据权利要求4所述的威胁性判定方法，其特征在于，所述将已知事件进行标签化关联并存储于搜索存储系统中，包括：

获取已知事件的属性信息；

将所述已知事件的属性信息与标签相关联；

将所述已知事件的属性信息及与其相关联的标签形成文档存储在搜索存储系统中的索引库中。

6.一种未知文件的威胁性判定装置，其特征在于，应用于服务器，所述装置包括：

接收模块，用于接收对与未知文件相关联的标签的输入操作；

检索模块，用于根据所述标签在预先建立的搜索存储系统中进行检索，查找与所述标签相关联的已知事件；

判定模块，用于根据所述已知事件的威胁性确定所述未知文件的威胁性。

7.根据权利要求6所述的威胁性判定装置，其特征在于，还包括：

第一关联模块，用于将所述未知文件与标签相关联。

8.根据权利要求6所述的威胁性判定装置，其特征在于，所述第一关联模块，具体用于：

接收客户端上报的未知文件；

判断所述未知文件是否为恶意文件；

若所述未知文件为恶意文件，提取所述未知文件的属性信息；

根据所述未知文件的属性信息，将所述未知文件与标签相关联。

9.根据权利要求6所述的威胁性判定装置，其特征在于，还包括：

第二关联模块，用于将已知事件进行标签化关联并存储于搜索存储系统中。

10.根据权利要求9所述的威胁性判定装置，其特征在于，所述第二关联模块，具体用于：

获取已知事件的属性信息；

将所述已知事件的属性信息与标签相关联；

将所述已知事件的属性信息及与其相关联的标签形成文档存储在搜索存储系统中的索引库中。

11.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一权利要求所述的方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一权利要求所述的方法。