CN109564613A - 签名创建设备、签名创建方法、记录签名创建程序的记录介质、以及软件确定系统 - Google Patents

签名创建设备、签名创建方法、记录签名创建程序的记录介质、以及软件确定系统 Download PDF

Info

Publication number
CN109564613A
CN109564613A CN201780046584.8A CN201780046584A CN109564613A CN 109564613 A CN109564613 A CN 109564613A CN 201780046584 A CN201780046584 A CN 201780046584A CN 109564613 A CN109564613 A CN 109564613A
Authority
CN
China
Prior art keywords
file
string
signing messages
signature
character string
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201780046584.8A
Other languages
English (en)
Other versions
CN109564613B (zh
Inventor
伊藤达哉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of CN109564613A publication Critical patent/CN109564613A/zh
Application granted granted Critical
Publication of CN109564613B publication Critical patent/CN109564613B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Bioethics (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Abstract

提供了一种签名创建设备等，利用该签名创建设备可以在短时间内创建具有高确定准确度的签名信息。签名创建设备101具有：哈希计算单元102，用于针对多个文件计算与构成文件的一部分的至少一些区域相关的哈希值；文件分类单元103，用于确定由哈希计算单元计算的哈希值的相似程度，并且基于所确定的程度将多个文件分类成组；字符串指定单元104，用于指定表示组中的文件中包括的代码串或比特串的字符串中的公共字符串，该公共字符串在所述文件中的至少一些文件中是共同的；以及签名创建单元105，用于创建表示标准的签名信息，通过该标准确定是否包括指定公共字符串中的至少一些。

Description

签名创建设备、签名创建方法、记录签名创建程序的记录介 质、以及软件确定系统
技术领域
本发明涉及生成签名信息的签名生成设备等，该签名信息包括用于确定文件是否包括对信息处理系统产生负面影响的软件的标准。
背景技术
PTL 1公开了一种生成签名信息的签名生成设备，该签名信息表示用于确定由软件执行的处理的历史是否与由恶意软件执行的处理的历史相匹配的标准。签名生成设备跟踪由恶意软件执行的处理，并且收集表示由恶意软件执行处理的历史的跟踪日志。接下来，签名生成设备基于跟踪日志中包括的处理是否彼此相似，将已经执行了包括在跟踪日志中的处理的恶意软件分类为恶意软件家族。一个恶意软件家族是具有彼此相似的跟踪日志的一组恶意软件。签名生成设备指定恶意软件家族中共同的一系列处理，并且基于所指定的一系列处理生成签名信息。
PTL 2公开了一种签名生成设备。当样本是以文本格式表示的处理序列时，签名生成设备指定经常出现在处理序列中作为签名信息的文本串。样本是用于确定是否是恶意软件的目标。
引文列表
专利文献
PTL 1：PCT国际申请公开No.2013-529335的日文翻译
PTL 2：日本未审查专利申请公开No.2012-003463
发明内容
技术问题
然而，即使PTL 1或PTL 2中公开的签名生成设备也难以在短时间内生成高度准确的签名信息。这是因为生成高度准确的签名信息需要很长时间。具体地，PTL 1中公开的签名生成设备需要用于跟踪由恶意软件执行的一系列处理的计算环境(例如，沙箱)和用于跟踪一系列处理的时间。因此，PTL 1中公开的签名生成设备需要长时间来生成签名信息。此外，个别恶意软件的文本串在多种恶意软件中并不总是常见的。在这种情况下，PTL 2中公开的签名生成设备不一定能够生成高度准确的签名信息。
这样，本发明的一个目的是提供一种能够在短时间内生成高度准确的签名信息的签名生成设备等。
问题的解决方案
作为本发明的一个方面，一种签名生成设备，包括：
哈希计算装置，用于计算针对至少各个文件中的部分区域的哈希值；
分类装置，用于计算由哈希计算装置计算的哈希值之间的相似程度并且基于所计算的程度将多个文件分类成组；
指定装置，用于在组中的文件中包括的字符串中指定至少一些文件中的公共字符串，该字符串是符号串或比特串；以及
签名生成设备，用于生成签名信息，该签名信息是用于确定是否包括所指定的公共串中的公共串的至少一部分的标准。
另外，作为本发明的另一方面，一种签名生成方法，包括：
计算各个文件中的至少部分区域的哈希值；
计算所计算的哈希值之间的相似程度，并且基于所计算的程度将多个文件分类成组；
在组中的文件中包括的字符串中指定至少一些文件中的公共字符串，该字符串是符号串或比特串；以及
生成签名信息，该签名信息是用于确定是否包括所指定的公共串中的公共串的至少一部分的标准。
另外，作为本发明的另一方面，一种使得计算机实现以下各项的签名生成程序：
用于计算各个文件中的至少部分区域的哈希值的哈希计算功能；
用于计算由哈希计算功能计算的哈希值之间的相似程度并且基于所计算的程度将多个文件分类成组的分类功能；
用于在组中的文件中包括的字符串中指定至少一些文件中公共字符串的指定功能，该字符串是符号串或比特串；以及
用于生成签名信息的签名生成功能，该签名信息是用于确定是否包括所指定的公共串中的公共串的至少一部分的标准。
此外，该目的还通过一种记录该程序的计算机可读记录介质来实现。
本发明的有益效果
根据本发明的签名生成设备等，可以在短时间内生成高度准确的签名信息。
附图说明
图1是示出根据本发明的第一示例实施例的包括签名生成设备的软件确定系统的配置的框图。
图2是示出根据第一示例实施例的签名生成设备的处理流程的流程图。
图3是概念性地示出签名信息的示例的图。
图4是示出根据本发明的第二示例实施例的签名生成设备的配置的框图。
图5是示出根据第二示例实施例的签名生成设备的处理流程的流程图。
图6是概念性地示出存储在区域信息存储单元中的区域信息的示例的图。
图7是示出根据本发明的第三示例实施例的签名生成设备的配置的框图。
图8是示出根据第三示例实施例的签名生成设备的处理流程的流程图。
图9是示出根据第三示例实施例的签名生成设备121的处理流程的流程图。
图10是示出根据第三示例实施例的签名生成设备的处理流程的流程图。
图11是概念性地示出存储在删除信息存储单元中的删除信息的示例的图。
图12是示出根据本发明的第四示例实施例的签名生成设备的配置的框图。
图13是示出根据第四示例实施例的签名生成设备的处理流程的流程图。
图14是示意性地示出能够实现根据本发明的每个示例实施例的签名生成设备或软件确定设备的计算处理设备的硬件配置的框图。
具体实施方式
在下文中，将参考附图详细描述本发明的示例实施例。
第一示例实施例
参考图1，将详细描述根据本发明的第一示例实施例的签名生成设备101的配置。图1是示出根据本发明的第一示例实施例的包括签名生成设备101的软件确定系统106的配置的框图。
根据第一示例实施例的签名生成设备101包括哈希计算单元(哈希计算器)102、文件分类单元(文件分类器)103、字符串指定单元(字符串指定器)104和签名生成单元(签名生成器)105。软件确定系统106包括签名生成设备101和软件确定设备201。
签名生成设备101输入多个数据文件(下文中，“数据文件”被称为“文件”)并且基于输入的多个文件来生成签名信息(稍后将参考图3描述)，该签名信息是用于确定输入文件是否包括对信息处理系统产生负面影响的软件(即，恶意软件，在下文中称为“恶意软件”)的标准。签名生成设备101可以通过通信网络接收多个文件，而不是输入多个文件。
为了便于说明，在第一示例实施例中，假设在签名生成设备101中输入的文件包括恶意软件。
软件确定设备201例如取决于根据由签名生成设备101生成的签名信息的文件的确定结果来确定文件是否包括恶意软件。软件确定设备201可以根据由除了签名生成设备101之外的设备生成的签名信息来确定文件是否包括恶意软件。
在以下描述中，假设软件对信息处理系统产生负面影响，并且将描述根据本发明的每个示例实施例的签名生成设备的处理。然而，软件可以替代地是包括一个或多个处理的处理序列。
接下来，参考图2，将详细描述根据本发明的第一示例实施例的签名生成设备101的处理。图2是示出根据第一示例实施例的签名生成设备101的处理流程的流程图。
在签名生成设备101中，哈希计算单元102根据稍后将描述的预定哈希计算过程来计算与输入的多个文件中的每个文件相关的哈希值(步骤S101)。哈希计算单元102通过执行用于根据预定哈希计算过程来计算包括在文件中的至少一部分数据的哈希值的处理来计算与文件相关的哈希值。哈希计算单元102可以计算文件中包括的部分区域(数据、片段、字段)的哈希值，或者可以计算文件的整个区域(数据)的哈希值。如第二示例实施例中所述，哈希计算单元102可以例如，取决于文件的类型(格式)，选择文件(数据)的区域作为用于计算哈希值的目标。
预定哈希计算过程是例如模糊哈希，模糊哈希计算彼此类似的数据的类似哈希值。预定哈希计算过程不限于模糊哈希。为了便于说明，假设哈希计算单元102计算哈希值。然而，哈希值可以是信息，诸如数据大小小于计算目标数据或数字串的符号串，而不限于一般哈希值。
接下来，文件分类单元103基于针对各个文件而计算的哈希值之间的相似程度(即，哈希值之间的相似性)来将多个文件分类为多个组(步骤S102)。文件分类单元103例如根据预定的聚类过程来将多个文件分类为多个组。当多个文件被分类为多个组时，可以存在或不存在通常被包括在多个组中的文件。预定聚类过程可以是诸如k均值方法等非层次聚类方法或诸如Ward方法等层次聚类方法。由于非层次聚类方法和层次聚类方法是一般方法，因此在本示例实施例中将省略其描述。
接下来，字符串指定单元104在组中的多个文件中包括的符号串或比特串(下文中，符号串或比特串统称为“串”)中指定被共同包括在至少一些文件中的串(步骤S103)。为了便于解释，共同包括的字符串被称为“公共字符串”。字符串指定单元104可以针对每个组执行在步骤S103中指示的处理。
例如，字符串指定单元104可以在组中的文件中指定具有相对较高出现频率的公共字符串作为上述公共字符串。例如，当共同包括在组中的文件中的字符串的出现频率高于预定阈值时，字符串指定单元104可以将相对较高出现频率的字符串指定为公共字符串。如上所述，在本示例实施例中，由于输入文件包括恶意软件，因此可能通过指定频繁出现的字符串来指定被包括在恶意软件中的字符串。
接下来，签名生成单元105生成签名信息(如将参考图3描述的)，该签名信息是用于确定是否包括由字符串指定单元104指定的公共字符串的至少一部分的标准(步骤S104)。换言之，签名信息表示用于确定文件是否包括恶意软件的标准。签名生成单元105生成布尔公式作为签名信息的确定信息，该布尔公式是通过组合用于确定公共字符串是否被包括在逻辑AND(或逻辑OR)运算符中的一些标准而生成的。基于公共串来计算签名信息的方法可以是基于共同包括在组中的多个文件中的串来生成表示确定标准的确定信息的任何方法，而不限于上述示例。
参考图3，将描述签名信息。图3是概念性地示出签名信息的示例的图。
签名信息包括表示在图2的步骤S103处指定的公共字符串的字符串信息和表示用于确定文件是否包括恶意软件的确定标准的确定信息。
在字符串信息中，可以唯一地标识公共字符串的标识符与表示公共字符串的内容的信息相关联。字符串信息表示文件是否包括由标识符标识的公共字符串的标准。图3中例示的签名信息包括字符串信息，其中标识符“A”与字符串“RequireAdministrator”相关联。这表示由标识符“A”标识的字符串为“RequireAdministrator”(即，需要系统授权)并且文件是包括字符串“RequireAdministrator”的标准。此外，图3中例示的签名信息包括标识符“C”和字符串“{01 01 01 10 01}”。这表示由标识符“C”标识的字符串为“{01 01 01 1001}”并且文件包括字符串“{01 01 01 10 01}”的标准。在图3中，“{}”表示比特串。
图3中例示的签名信息包括确定信息“A和B和(C或D)”。这里，“和”表示逻辑AND运算符，并且“或”表示逻辑OR运算符。“()”表示括号中的运算在前。当满足由标识符“C”标识的标准或者满足由标识符“D”标识的标准时，并且进一步地，当满足由标识符“A”标识的标准和由标识符“B”标识的标准时，确定信息表示了所满足的标准。也就是说，当关于文件满足由以下标准1至3指示的标准时，签名信息表示用于确定文件包括恶意软件的标准：
标准1：包括字符串“{01 01 01 10 01}”或包括字符串“ZZZZZZZZZ”；
标准2：包括字符串“LookupPrivilegeValueA”(即，获取与授权相对应的标识符)；以及
标准3：包括字符串“RequireAdministrator”。
以下将描述根据第一示例实施例的签名生成设备101的有益效果。
签名生成设备101可以在短时间内生成高度准确的签名信息。这是因为没有必要跟踪软件行为以便生成签名信息并且基于多个文件中的公共串(其中至少部分文件的内容彼此相似)来生成签名信息。以下将更详细地描述这个原因。
包括类似组成部分的文件可以包括根据组成部分而执行的特定处理。在这种情况下，在类似组成部分中共同的字符串的指定可以实现高度准确的签名信息，该签名信息表示用于确定文件是否包括特定处理的标准。
PTL 2中公开的签名生成设备生成签名信息，该签名信息表示用于确定文件是否包括特定处理的标准，而不区分文件中包括的组成部分的内容之间的相似性。因此，签名生成设备生成签名信息，该签名信息表示即使当组成部分的内容不相似时文件是否包括特定处理的确定标准。在这种情况下，由于签名生成设备生成的签名信息很可能是基于文件中包括的噪声而生成的，因此签名信息可能不一定具有高准确度。噪声是指与特定处理无关的字符串。
相反，根据本示例实施例的签名生成设备101指定在相似组成部分中共同的字符串。因此，公共字符串可能表示根据彼此相似的组成部分而执行的特定处理。
此外，PTL 1中公开的签名生成设备基于表示根据软件而执行的处理行为的跟踪日志，来生成用于确定软件是否执行特定行为的签名信息。相反，根据本示例实施例的签名生成设备101在生成签名信息时不参考跟踪日志。软件处理的行为调查需要执行环境(诸如沙箱)以及用于在执行环境中跟踪软件行为的时间。由于跟踪软件行为的处理通常花费很长时间，因此PTL 1中公开的签名生成设备不能在短时间内生成高度准确的签名信息。
相反，由于根据本示例实施例的签名生成设备101基于软件中包括的字符串来生成表示是否包括特定处理的标准的签名信息，因此不需要用于跟踪软件行为的时间。这样，与PTL 2中公开的签名生成设备相比，根据本示例实施例的签名生成设备101可以在更短的时间段内生成签名信息。
因此，根据本示例实施例的签名生成设备101可以在短时间段内生成高度准确的签名信息。
第二示例实施例
以下将基于上述第一示例实施例来描述本发明的第二示例实施例。
以下描述将主要描述根据本示例实施例的特征配置。与上述第一示例实施例的组件相同的组件将由相同的附图标记表示以省略多余的描述。
参考图4，将详细描述根据本发明的第二示例实施例的签名生成设备111的配置。图4是示出根据本发明的第二示例实施例的签名生成设备111的配置的框图。
根据第二示例实施例的签名生成设备111包括区域选择单元(区域选择器)112、哈希计算单元(哈希计算器)113、文件分类单元(文件分类器)103、字符串指定单元(字符串指定器)104和签名生成单元(签名生成器)105。签名生成设备111以通信方式连接到区域信息存储单元210。
区域选择单元112基于存储在区域信息存储单元210中的区域信息来从输入文件中选择区域作为用于计算哈希值的目标(稍后将参考图6描述)。哈希计算单元113计算由区域选择单元112选择的区域的哈希值。
参考图6，将描述区域信息。图6是概念性地示出存储在区域信息存储单元210中的区域信息的示例的图。
区域信息包括表示用于计算与每种文件类型的文件相关的哈希值的区域(下文中称为“目标区域”)的信息。在图6中例示的区域信息中，表示文件类型的信息与表示目标区域的信息相关联。在图6中例示的区域信息中，文件类型“执行文件”与目标区域“导入表”相关联。这表示当文件的文件类型是“执行文件”时，计算文件中的区域“导入表”的哈希值。如图6中例示的，文件中可以有多个目标区域。区域信息可以包括除了上述信息之外的信息，而不限于上述示例。
接下来，参考图5，将详细描述根据本发明的第二示例实施例的签名生成设备111的处理。图5是示出根据第二示例实施例的签名生成设备111的处理流程的流程图。
区域选择单元112为每个输入文件指定文件类型(步骤S111)。文件类型表示文件的类型，诸如执行文件、图像文件和视频文件。文件类型可以是文件格式的图像文件，诸如JPEG文件、GIF文件和PNG文件。JPEG是联合图像专家组的缩写。GIF是图形交换格式的缩写。PNG是便携式网络图像格式的缩写。区域选择单元112可以指定文件的文件类型，例如，基于用于标识文件的文件名的扩展名、文件中包括的符号串等。区域选择单元112指定文件类型的处理不限于上述示例。
在步骤S111之后，区域选择单元112基于区域信息(在图6中例示)选择用于计算与指定类型的文件相关的哈希值的目标区域(步骤S112)。例如，当指定的文件类型是执行文件时，区域选择单元112指定与区域信息中的文件类型“执行文件”相关联的目标区域“导入表”(在图6中例示)。
哈希计算单元113根据预定哈希计算过程来计算存储在由区域选择单元112选择的区域中的数据的哈希值(步骤S113)。因此，根据在步骤S113中指示的处理而计算的哈希值表示根据用于计算文件的哈希值的类似过程而计算(在图2中的步骤S101处计算)的哈希值。
哈希计算单元113和区域选择单元112针对多个输入文件执行如步骤S111至S113中指示的各个处理。
此后，在签名生成设备111中执行在步骤S102至S104中指示的处理。
以下将描述根据第二示例实施例的签名生成设备111的有益效果。
根据本示例实施例的签名生成设备111，可以在短时间段内生成高度准确的签名信息。这是出于与第一示例实施例中描述的相同的原因。
另外，根据第二示例实施例的签名生成设备111可以生成更准确的签名信息。这是因为，由于哈希值在很大程度上取决于用于计算哈希值的区域而变化，因此可能针对每种文件类型生成组，并且该组可能基于恶意软件进一步分类。换言之，根据本示例实施例的签名生成设备111生成基于恶意软件而分类的组的签名信息，并且从而所生成的签名信息可能基于恶意软件中的公共字符串来生成。因此，由于可能为每个类似的恶意软件生成签名信息，因此签名信息很可能代表恶意软件的特征。结果，所生成的签名信息可能是高度准确的签名信息。
第三示例实施例
以下将基于上述第一示例实施例来描述本发明的第三示例实施例。
以下描述将主要描述根据本示例实施例的特征配置。与上述第一示例实施例的组件相同的组件将由相同的附图标记表示以省略多余的描述。
参考图7，将详细描述根据本发明的第三示例实施例的签名生成设备121的配置。图7是示出根据本发明的第三示例实施例的签名生成设备121的配置的框图。
根据第三示例实施例的签名生成设备121包括哈希计算单元(哈希计算器)102、文件分类单元(文件分类器)123、字符串指定单元(字符串指定器)124和签名生成单元(签名生成器)。签名生成设备121以通信方式连接到删除信息存储单元221。
删除信息存储单元221存储表示由签名生成单元125针对恶意软件而生成的签名信息中的不特定于恶意软件的字符串的删除信息，如图11中例示的。图11是概念性地示出存储在删除信息存储单元221中的删除信息的示例的图。
如上所述，删除信息包括表示不特定于恶意软件的字符串的信息(下文中称为“删除字符串信息”)，并且可以是例如表示共同包括在不包括恶意软件的文件中的字符串的信息。图11中例示的删除信息包括字符串“/security”。这表示字符串“/security”不是特定于恶意软件的字符串。删除信息可以表示例如被包括在不包括恶意软件的单个文件中的字符串，而不限于上述示例。
接下来，参考图8，将详细描述根据本发明的第三示例实施例的签名生成设备121的处理。图8是示出根据第三示例实施例的签名生成设备121的处理流程的流程图。
签名生成设备121对包括恶意软件的文件执行与第一示例实施例中参考图2所示的流程图而描述的处理类似的处理，并且生成文件的签名信息(步骤S101至S104)。
签名生成单元125从所生成的签名信息中删除用于删除信息(在图11中例示)中的删除字符串信息的标准。例如，签名生成单元125通过删除用于删除字符串信息的标准和该标准与其他标准之间的逻辑运算处理来从所生成的签名信息中删除删除字符串信息(步骤S125)。
如参考图11所述，由于删除信息表示不特定于恶意软件的字符串，所以当签名生成设备121执行图8所示的处理时，可以生成更准确的签名信息。
根据如图9所示的处理，签名生成设备121可以分别将包括恶意软件的文件和不包括恶意软件的文件分类成组。然后，签名生成设备121可以基于所分类的组来执行处理。图9是示出根据第三示例实施例的签名生成设备121的处理流程的流程图。在图9所示的处理中，签名生成设备121输入包括恶意软件的文件和不包括恶意软件的文件。为了便于说明，假设签名生成设备121输入由包括恶意软件的一个或多个文件构成的坏文件集和由不包括恶意软件的一个或多个文件构成的好文件集。
哈希计算单元102根据预定哈希计算过程来计算文件的哈希值(步骤S101)。
文件分类单元123基于关于坏文件集中包括的文件而计算的哈希值的相似性来将包括在坏文件集中的文件(下文中称为“坏文件”)分类为多个组(下文中称为“坏组”)。同样地，基于关于好文件集中包括的文件(下文中称为“好文件”)而计算的哈希值的相似性，文件分类单元123将好文件分类为多个组(下文中称为“好组”)(步骤S132)。
接下来，字符串指定单元124指定共同包括在好组中的好文件中的字符串(步骤S133)，并且将表示指定字符串的字符串信息存储在删除信息存储单元221中(步骤S134)。此外，字符串指定单元124指定共同包括在坏组中的坏文件中的字符串(步骤S135)。
基于关于坏组中包括的文件而指定的字符串，签名生成单元125通过执行类似于步骤S104(图2)的处理来生成与字符串相关的签名信息(步骤S136)。签名生成单元125基于包括表示在步骤S133处指定的字符串的信息的删除信息，通过执行类似于步骤S125(图8)的处理来从签名信息中删除与删除字符串信息相关的标准(步骤S137)。
签名生成设备121可以按照从步骤S135、S136、S133到S134的顺序执行处理，而不限于图9所示的处理顺序。
在图9所示的处理中，由于公共字符串信息是与好组中包括的文件相关的字符串信息，因此作为用于指定公共字符串信息的目标的文件的数目与好文件集相关的字符串信息的数目相比较小。因此，由于指定了更多变化的签名信息，所以除了参考图8所述的有益效果之外，签名生成设备121还可以以更高准确度生成签名信息。
签名生成设备121可以将文件分类成组，生成每个组中包括的恶意软件的签名信息，并且根据图10所示的过程基于每个组中包括的好组的公共字符串信息来更新所生成的签名信息。图10是示出根据第三示例实施例的签名生成设备121的处理流程的流程图。
文件分类单元123基于由哈希计算单元102计算的哈希值来将输入的多个文件分类成组(步骤S142)。
字符串指定单元124根据与步骤S133和S135(图9)中所示的处理类似的处理过程来指定所分类的组中包括的好文件集的字符串和每个组中包括的坏文件集的字符串(步骤S143和S144)。
签名生成单元125通过执行类似于步骤S104(图2)的处理来生成坏文件集的签名信息(步骤S145)。签名生成单元125通过执行类似于步骤S125(图8)的处理来从所生成的签名信息中包括的字符串中删除用于关于每个组中包括的好文件集而指定的公共字符串信息的标准(步骤S146)。
在图10所示的处理中，由于作为来自签名信息的删除目标的公共字符串信息被限制为作为用于生成签名信息的源的组，因此搜索公共字符串作为删除目标的处理小于图9等所示的处理。因此，签名生成设备121根据图10所示的处理来生成签名信息，并且从而除了参考图9描述的有益效果之外，还可以在更短的时间段内生成签名信息。
以下将描述根据第三示例实施例的签名生成设备121的有益效果。
根据第三示例实施例的签名生成设备121可以在短时间段内生成高度准确的签名信息。这是出于与第一示例实施例中描述的相同的原因。
此外，根据第三示例实施例的签名生成设备121可以生成更准确的签名信息或者在更短的时间段内生成签名信息。这是因为，可以基于参考图8到10的附图而描述的原因来获取上述有益效果。
第四示例实施例
以下将基于上述第一示例实施例来描述本发明的第四示例实施例。
以下描述将主要描述根据本示例实施例的特征配置。与上述第一示例实施例的组件相同的组件将由相同的附图标记表示以省略多余的描述。
参考图12，将详细描述根据本发明的第四示例实施例的签名生成设备151的配置。图12是示出根据本发明的第四示例实施例的签名生成设备151的配置的框图。
根据第四示例实施例的签名生成设备151包括哈希计算单元(哈希计算器)102、文件分类单元(文件分类器)103、字符串指定单元(字符串指定器)104、签名生成单元(签名生成器)105和签名检查单元(签名检查器)156。
接下来，参考图13，将详细描述根据本发明的第四示例实施例的签名生成设备151的处理。图13是示出根据第四示例实施例的签名生成设备151的处理流程的流程图。
签名生成设备151中的单元执行步骤S101至S104中指示的处理，并且从而签名生成设备151生成签名信息。
签名检查单元156基于在步骤S104中生成的签名信息来确定包括恶意软件的文件是否满足签名信息的确定信息以及不包括恶意软件的文件是否满足签名信息的确定信息(步骤S155)。如参考图3所述，确定信息表示包括恶意软件的坏文件中的公共字符串。对文件的确定信息的满足导致确定文件包括恶意软件。相反，对文件的确定信息的不满意导致确定文件不包括恶意软件。
接下来，签名检查单元156基于每个文件的确定结果来计算签名信息的准确度(步骤S156)。签名检查单元156计算包括恶意软件的文件的准确度和不包括恶意软件的文件的准确度。
签名检查单元156确定所计算的准确度是否满足预定条件，并且仅输出满足预定条件的签名信息(步骤S157)。例如，签名检查单元156可以确定包括恶意软件的文件的准确度是否满足预定条件。签名检查单元156可以分别确定包括恶意软件的文件的准确度和不包括恶意软件的文件的准确度是否满足预定条件。包括恶意软件的文件的预定确定条件是例如准确度大于预定的第一准确度的标准。不包括恶意软件的文件的预定确定条件是例如准确度不大于预定的第二准确度的标准。在这种情况下，预定的第一准确度和预定的第二准确度不一定是相同的值，并且可以是不同的值。
签名检查单元156可以计算每个组的准确度作为用于生成签名信息的源，而不是计算每个签名信息的准确度。签名检查单元156输出基于准确度满足预定的确定条件的组而生成的签名信息。签名检查单元156不输出基于准确度不满足预定的确定条件的组而生成的签名信息。在这种情况下，当在某个组的计算准确度的中间显示准确度不满足预定的确定条件时，签名检查单元156可以结束对于该特定组的准确度的计算处理(例如，在步骤S155至S157中指示的处理)。例如，假设文件的数目是100，并且预定的确定条件是“确定准确度高于70％”。在这种情况下，签名检查单元156可以在针对该组错误地确定的文件的数目达到30或更多时结束对该组的准确度的计算处理。在这种情况下，签名检查单元156确定该组的准确度不满足预定条件。因此，在这种情况下，签名检查单元156不输出该组。由于签名检查单元156可以不针对所有文件确定是否满足与签名信息相关的确定标准，因此可以在短时间内计算签名信息的准确度。
以下将描述根据第四示例实施例的签名生成设备151的有益效果。
根据第四示例实施例的签名生成设备151可以在短时间段内生成高度准确的签名信息。这是出于与第一示例实施例中描述的相同的原因。
此外，根据第四示例实施例的签名生成设备151可以生成更准确的签名信息。这是因为，签名生成设备151使用文件来计算与签名信息相关的准确度，对于这些文件，先前已经提供了文件是否包括恶意软件的信息，并且签名生成设备151仅输出准确度满足预定的确定条件的签名信息。因此，由于签名生成设备151没有输出未满足预定条件准确度的签名信息，因此第四示例实施例的签名生成设备151可以生成具有更高确定准确度的签名信息。
(硬件配置示例)
将描述实现根据本发明的每个示例实施例的签名生成设备或软件确定设备的硬件资源的配置示例。然而，签名生成设备或软件确定设备可以使用物理上或功能上至少两个计算处理设备来实现。此外，签名生成设备可以实现为专用设备。
图14是示意性地示出能够实现根据本发明每个示例实施例的签名生成设备或软件确定设备的计算处理设备的硬件配置的框图。计算处理设备20包括中央处理单元(CPU)21、存储器22、盘23、非暂态记录介质24和通信接口(下文中描述为“通信IF”)27。计算处理设备20可以连接输入设备25和输出设备26。计算处理设备20可以经由通信I/F 27执行信息向/从另一计算处理设备和通信设备的传输/接收。
非暂态记录介质24例如是计算机可读光盘、数字多功能光盘。非暂态记录介质24可以是通用串行总线(USB)存储器、固态驱动器等。非暂态记录介质24允许相关程序在没有电源的情况下可保持和携带。非暂态记录介质24不限于上述介质。此外，可以通过通信I/F27经由通信网络而不是非暂态记录介质24来携带相关程序。
换言之，CPU 21当执行程序时在存储器22上复制存储在盘23中的软件程序(计算机程序：下文中简称为“程序”)并且执行运算处理。CPU 21从存储器22读取程序执行所需要的数据。当需要显示时，CPU 21在输出设备26上显示输出结果。当从外部输入程序时，CPU21从输入设备25读取程序。CPU 21解释并且执行签名生成程序(图2、图5、图8至10或图13)或存在于存储器22上的软件确定程序，这些程序对应于由上述图1、图4、图7或图12所示的每个单元指示的功能(处理)。CPU 21顺序地执行在本发明的每个示例实施例中描述的处理。
换言之，在这种情况下，可以想到，也可以使用签名生成程序或软件确定程序来实施本发明。此外，可以想到，也可以使用存储签名生成程序或软件确定程序的计算机可读、非暂态记录介质来实施本发明。
已经使用上述示例实施例作为示例情况描述了本发明。然而，本发明不限于上述示例实施例。换言之，在不脱离本发明的范围的情况下，本发明适用于本领域技术人员可以理解的各个方面。
本申请基于并且要求于2016年7月27日提交的日本专利申请No.2016-147473的权益，其公开内容整体并入本文。
附图标记列表
101：签名生成设备
102：哈希计算单元
103：文件分类单元
104：字符串指定单元
105：签名生成单元
106：软件确定系统
201：软件确定设备
111：签名生成设备
112：区域选择单元
113：哈希计算单元
210：区域信息存储单元
121：签名生成设备
123：文件分类单元
124：字符串指定单元
125：签名生成单元
221：删除信息存储单元
151：签名生成设备
156：签字检查单元
20：计算处理设备
21：CPU
22：存储器
23：盘
24：非暂态记录介质
25：输入设备
26：输出设备
27：通信IF

Claims (10)

1.一种签名生成设备，包括：
哈希计算装置，用于计算针对至少各个文件中的部分区域的哈希值；
分类装置，用于计算由所述哈希计算装置所计算的哈希值之间的相似程度，并且基于所计算的所述程度将所述多个文件分类成组；
指定装置，用于在组中的文件中包括的字符串中的所述文件中的至少一些文件之中指定公共字符串，所述字符串是符号串或比特串；以及
签名生成装置，用于生成签名信息，所述签名信息是用于确定是否包括所指定的所述公共串中的所述公共串的至少一部分的标准。
2.根据权利要求1所述的签名生成设备，还包括：
区域选择装置，用于指定文件的类型，并且基于表示针对特定类型的文件的哈希值计算区域的区域信息，来选择针对所指定的所述类型的区域，其中
所述哈希计算装置计算针对由所述区域选择装置指定的区域的哈希值。
3.根据权利要求1或2所述的签名生成设备，其中
所述签名生成装置根据删除信息从所生成的所述签名信息中删除与删除字符串信息相关的标准，所述删除信息包括作为从所述签名信息的删除目标的所述删除字符串。
4.根据权利要求3所述的签名生成设备，其中
所述各个文件是具有对信息处理系统产生负面影响的恶意软件的坏文件，或者是作为没有所述恶意软件的文件的好文件，
所述分类装置生成通过对所述坏文件进行分类而获取的坏组和通过对所述好文件进行分类而获取的好组，
所述指定装置指定所述坏组的所述文件之中共同的字符串和所述好组的所述文件之中共同的字符串，并且将针对所述好组指定的字符串存储到所述删除信息中，以及
所述签名生成装置生成通过对所述坏文件进行分类而获取的所述坏组的所述签名信息，并且从所述签名信息中删除与所述删除信息中的所述字符串相关的标准。
5.根据权利要求1或2所述的签名生成设备，其中
所述文件是具有对信息处理系统产生负面影响的恶意软件的坏文件，或者是作为没有所述恶意软件的文件的好文件，
所述指定装置分别针对所述坏文件和所述好文件指定所述组的文件之中的所述公共字符串，以及
所述签名生成装置针对所述组生成与针对所述坏文件指定的公共字符串相关的签名信息，并且删除与针对所述好文件指定的公共字符串相关的标准。
6.根据权利要求1或2所述的签名生成设备，还包括：
签名检查装置，用于确定具有对信息处理设备产生负面影响的恶意软件的坏文件或者作为没有所述恶意软件的文件的好文件是否满足与所生成的所述签名信息相关的标准，基于所确定的所述结果计算所述签名信息的确定准确性，并且仅输出所计算的所述确定准确度满足预定条件的所述签名信息。
7.根据权利要求1或2所述的签名生成设备，还包括：
签名检查装置，用于执行确定处理，所述确定处理用于确定具有对信息处理设备产生负面影响的恶意软件的坏文件或者作为没有所述恶意软件的文件的好文件是否满足与所述签名信息相关的标准，计算基于所述组而生成的所述签名信息的确定准确度，并且仅输出所计算的所述确定准确度满足预定条件的、基于所述组而生成的所述签名信息，其中
当确定特定组的所述确定准确度不满足所述预定条件时，所述签名检查装置不执行与所述特定组相关的所述确定处理。
8.一种软件确定系统，包括：
根据权利要求1至7中任一项所述的签名生成设备；以及
软件确定设备，用于根据包括在特定文件中的字符串是否满足由所述签名生成设备生成的签名信息中所包括的确定信息来确定所述特定文件是否包括对处理产生负面影响。
9.一种信息处理设备的签名生成方法，包括：
计算针对至少各个文件中的部分区域的哈希值；
计算所计算的所述哈希值之间的相似程度，并且基于所计算的所述程度将所述多个文件分类成组；
指定在组的文件中包括的字符串中的所述文件中的至少一些文件之中的公共字符串，所述字符串是符号串或比特串；以及
生成签名信息，所述签名信息是用于确定是否包括指定的所述公共串中的所述公共串的至少一部分的标准。
10.一种存储签名生成程序的记录介质，所述程序使得计算机实现：
哈希计算功能，用于计算针对至少各个文件中的部分区域的哈希值；
分类功能，用于计算由所述哈希计算功能计算的所述哈希值之间的相似程度，并且基于所计算的所述程度将所述多个文件分类成组；
指定功能，用于在组的文件中包括的字符串中指定所述文件中的至少一些文件之中的公共字符串，所述字符串是符号串或比特串；以及
签名生成功能，用于生成签名信息，所述签名信息是用于确定是否包括所指定的公共串中的公共串的至少一部分的标准。
CN201780046584.8A 2016-07-27 2017-07-21 签名创建设备、签名创建方法、记录签名创建程序的记录介质、以及软件确定系统 Active CN109564613B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2016147473 2016-07-27
JP2016-147473 2016-07-27
PCT/JP2017/026382 WO2018021163A1 (ja) 2016-07-27 2017-07-21 シグネチャ作成装置、シグネチャ作成方法、シグネチャ作成プログラムが記録された記録媒体、及び、ソフトウェア判定システム

Publications (2)

Publication Number Publication Date
CN109564613A true CN109564613A (zh) 2019-04-02
CN109564613B CN109564613B (zh) 2023-05-30

Family

ID=61016249

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201780046584.8A Active CN109564613B (zh) 2016-07-27 2017-07-21 签名创建设备、签名创建方法、记录签名创建程序的记录介质、以及软件确定系统

Country Status (5)

Country Link
US (1) US11126715B2 (zh)
JP (1) JP6977724B2 (zh)
CN (1) CN109564613B (zh)
RU (1) RU2716553C1 (zh)
WO (1) WO2018021163A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116910792A (zh) * 2023-09-12 2023-10-20 武汉汉王数据技术有限公司 一种人工智能生成内容处理方法、系统、设备及存储介质

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109388918B (zh) * 2018-11-02 2020-07-28 深圳市小牛普惠投资管理有限公司 一种资源包加密方法、装置、计算机设备及存储介质
US11288368B1 (en) * 2019-06-26 2022-03-29 Support Intelligence, Inc. Signature generation
CN113642619B (zh) * 2021-07-29 2023-12-26 华侨大学 文字识别模型的训练方法、装置、设备及可读存储介质

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1766778A (zh) * 2004-10-29 2006-05-03 微软公司 用户可修改文件的有效白名单
US20080127336A1 (en) * 2006-09-19 2008-05-29 Microsoft Corporation Automated malware signature generation
US20090013405A1 (en) * 2007-07-06 2009-01-08 Messagelabs Limited Heuristic detection of malicious code
JP2012003463A (ja) * 2010-06-16 2012-01-05 Kddi Corp シグネチャの生成を支援する支援装置、方法及びプログラム
CN103281325A (zh) * 2013-06-04 2013-09-04 北京奇虎科技有限公司 基于云安全的文件处理方法及装置
CN103473506A (zh) * 2013-08-30 2013-12-25 北京奇虎科技有限公司 用于识别恶意apk文件的方法和装置
WO2014098387A1 (ko) * 2012-12-17 2014-06-26 주식회사 안랩 악성 애플리케이션 진단장치 및 방법
CN104657665A (zh) * 2015-03-12 2015-05-27 四川神琥科技有限公司 一种文件处理方法
WO2016080232A1 (ja) * 2014-11-18 2016-05-26 日本電信電話株式会社 悪性通信パターン抽出装置、悪性通信パターン抽出方法、および、悪性通信パターン抽出プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8464345B2 (en) 2010-04-28 2013-06-11 Symantec Corporation Behavioral signature generation using clustering
US9111094B2 (en) * 2011-01-21 2015-08-18 F-Secure Corporation Malware detection

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1766778A (zh) * 2004-10-29 2006-05-03 微软公司 用户可修改文件的有效白名单
US20080127336A1 (en) * 2006-09-19 2008-05-29 Microsoft Corporation Automated malware signature generation
US20090013405A1 (en) * 2007-07-06 2009-01-08 Messagelabs Limited Heuristic detection of malicious code
JP2012003463A (ja) * 2010-06-16 2012-01-05 Kddi Corp シグネチャの生成を支援する支援装置、方法及びプログラム
WO2014098387A1 (ko) * 2012-12-17 2014-06-26 주식회사 안랩 악성 애플리케이션 진단장치 및 방법
CN103281325A (zh) * 2013-06-04 2013-09-04 北京奇虎科技有限公司 基于云安全的文件处理方法及装置
CN103473506A (zh) * 2013-08-30 2013-12-25 北京奇虎科技有限公司 用于识别恶意apk文件的方法和装置
WO2016080232A1 (ja) * 2014-11-18 2016-05-26 日本電信電話株式会社 悪性通信パターン抽出装置、悪性通信パターン抽出方法、および、悪性通信パターン抽出プログラム
CN104657665A (zh) * 2015-03-12 2015-05-27 四川神琥科技有限公司 一种文件处理方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
李根: "Android系统恶意代码检测技术研究", 《中国优秀硕士学位论文全文数据库信息科技辑》 *
秦中元 等: "基于多级签名匹配算法的Android恶意应用检测", 计算机应用研究 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116910792A (zh) * 2023-09-12 2023-10-20 武汉汉王数据技术有限公司 一种人工智能生成内容处理方法、系统、设备及存储介质

Also Published As

Publication number Publication date
US11126715B2 (en) 2021-09-21
CN109564613B (zh) 2023-05-30
JP6977724B2 (ja) 2021-12-08
US20190163906A1 (en) 2019-05-30
JPWO2018021163A1 (ja) 2019-05-09
RU2716553C1 (ru) 2020-03-12
WO2018021163A1 (ja) 2018-02-01

Similar Documents

Publication Publication Date Title
US8707268B2 (en) Testing operations of software
CN109564613A (zh) 签名创建设备、签名创建方法、记录签名创建程序的记录介质、以及软件确定系统
Lazar et al. Generating duplicate bug datasets
JP2017224184A (ja) 機械学習装置
JP2022535165A (ja) 多数の分類モジュールから集約された情報を使用するデータ分類
JP7332949B2 (ja) 評価方法、評価プログラム、および情報処理装置
CN107615240A (zh) 用于分析二进制文件的基于生物序列的方案
CN113268665A (zh) 基于随机森林的信息推荐方法、装置、设备及存储介质
US10346450B2 (en) Automatic datacenter state summarization
WO2014130287A1 (en) Method and system for propagating labels to patient encounter data
CN106201857A (zh) 测试用例的选取方法及装置
US11620558B1 (en) Iterative machine learning based techniques for value-based defect analysis in large data sets
US9400927B2 (en) Information processing apparatus and non-transitory computer readable medium
CN114358305A (zh) 移动ai
WO2010073471A1 (ja) ビット列データソート装置、方法及びプログラム
CN116361788A (zh) 一种基于机器学习的二进制软件漏洞预测方法
JP7391960B2 (ja) エクスプロイト・キット検出
JP5487078B2 (ja) ソフトウェア資産整理方法及び装置
JP6123372B2 (ja) 情報処理システム、名寄せ判定方法及びプログラム
CN113407180A (zh) 一种配置页面生成方法、系统、设备以及介质
JP7456289B2 (ja) 判定プログラム、判定方法および情報処理装置
JP6012414B2 (ja) 情報処理装置及び情報処理方法及びプログラム
JP6954806B2 (ja) 不具合検出装置、及び不具合検出方法
US11194841B2 (en) Value classification by contextual classification of similar values in additional documents
Pierris et al. Forensically classifying files using HSOM algorithms

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 40005694

Country of ref document: HK

GR01 Patent grant
GR01 Patent grant