CN113315775A - 恶意事件的定位方法、系统、存储介质和终端 - Google Patents
恶意事件的定位方法、系统、存储介质和终端 Download PDFInfo
- Publication number
- CN113315775A CN113315775A CN202110608913.1A CN202110608913A CN113315775A CN 113315775 A CN113315775 A CN 113315775A CN 202110608913 A CN202110608913 A CN 202110608913A CN 113315775 A CN113315775 A CN 113315775A
- Authority
- CN
- China
- Prior art keywords
- malicious
- event
- event detection
- backtracking
- detection point
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 128
- 238000001514 detection method Methods 0.000 claims abstract description 107
- 230000008569 process Effects 0.000 claims description 92
- 230000006399 behavior Effects 0.000 claims description 89
- 238000004590 computer program Methods 0.000 claims description 9
- 230000004048 modification Effects 0.000 claims description 8
- 238000012986 modification Methods 0.000 claims description 8
- 238000012790 confirmation Methods 0.000 claims description 6
- 230000006378 damage Effects 0.000 claims description 6
- 230000004807 localization Effects 0.000 claims 1
- 230000000694 effects Effects 0.000 abstract description 3
- 230000009286 beneficial effect Effects 0.000 abstract description 2
- 238000013515 script Methods 0.000 description 15
- 241000700605 Viruses Species 0.000 description 12
- 238000010586 diagram Methods 0.000 description 8
- 238000004891 communication Methods 0.000 description 6
- 230000001960 triggered effect Effects 0.000 description 6
- FFBHFFJDDLITSX-UHFFFAOYSA-N benzyl N-[2-hydroxy-4-(3-oxomorpholin-4-yl)phenyl]carbamate Chemical compound OC1=C(NC(=O)OCC2=CC=CC=C2)C=CC(=C1)N1CCOCC1=O FFBHFFJDDLITSX-UHFFFAOYSA-N 0.000 description 4
- 230000002265 prevention Effects 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 230000006870 function Effects 0.000 description 2
- 230000000903 blocking effect Effects 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 230000006837 decompression Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000011022 operating instruction Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/146—Tracing the source of attacks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本申请提供一种恶意事件的定位方法，包括：确认恶意事件检测点；在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。本申请可以实现对恶意事件彻底的阻值和处置，防止恶意事件由于处置不完全而复发，有效的提高了设备被恶意软件攻击时的防护效果。本申请还提供一种恶意事件的定位系统、计算机可读存储介质和终端，具有上述有益效果。
Description
技术领域
本申请涉及网络安全领域，特别涉及一种恶意事件的定位方法、定位系统、计算机可读存储介质和终端。
背景技术
目前恶意软件检测过程仅针对被检测点进行分析检测，被检测点即恶意软件检测过程中被检测到的单点，一般指文件或者进程。由于仅针对被检测点进行分析检测，导致用户无法知道恶意软件执行过程；其次，导致恶意行为或恶意事件的阻止和处置成为单点阻止和单点处置，无法彻底的阻止和处置恶意软件，使其可能再次运行，造成恶意影响。
因此，如何有效处理恶意软件是本领域技术人员亟需解决的技术问题。
发明内容
本申请的目的是提供一种恶意事件的定位方法、定位系统、计算机可读存储介质和终端，通过回溯恶意事件的恶意攻击流程彻底清除恶意事件。
为解决上述技术问题，本申请提供一种恶意事件的定位方法，具体技术方案如下：
确认恶意事件检测点；
在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
可选的，在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述被检测点相关联的原始事件之前，还包括：
收集所有原始事件；
将所有所述原始事件以预设存储格式存于所述数据库。
可选的，在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件包括：
在数据库中按照时间顺序对所述恶意事件检测点分别进行向上回溯和向下回溯；
确定与所述恶意事件检测点相关联进程的目标原始事件，或生成所述恶意事件检测点所属进程的目标原始事件。
可选的，确定与所述恶意事件检测点相关联进程的原始事件包括：
确定与所述恶意事件检测点相同进程或存在父子进程关系的原始事件。
可选的，根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程包括：
根据所述恶意行为逻辑关系确认恶意行为入口点；
以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
可选的，所述原始事件包括进程创建销毁事件、线程创建销毁事件、文件创建、只读修改事件、注册表创建和修改事件和网络连接事件中的一项或任意几项的组合。
本申请还提供一种恶意事件的定位系统，包括：
检测点确认模块，用于确认恶意事件检测点；
回溯模块，用于在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
逻辑确认模块，用于根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
事件定位模块，用于根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
可选的，所述事件定位模块包括：
起点定位单元，用于根据所述恶意行为逻辑关系确认恶意行为入口点；
事件定位单元，用于以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
本申请还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的方法的步骤。
本申请还提供一种终端，包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如上所述的方法的步骤。
本申请提供一种恶意事件的定位方法，包括：确认恶意事件检测点；在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
本申请在确认恶意事件检测点后，基于恶意事件检测点进行向上回溯和向下回溯，从而定位与恶意事件检测点相关联的原始事件，从而得到恶意行为逻辑关系，能够明确恶意事件的执行过程，并确认其恶意攻击流程，能够在恶意攻击流程的基础上，从恶意事件源头进行处置，并有效清楚由恶意事件触发的所有原始事件，从而实现对恶意事件彻底的阻值和处置，防止恶意事件由于处置不完全而复发，有效的提高了设备被恶意软件攻击时的防护效果。
本申请还提供一种恶意事件的定位系统、计算机可读存储介质和终端，具有上述有益效果，此处不再赘述。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请实施例所提供的一种恶意事件的定位方法的流程图；
图2为本申请实施例所提供的一种恶意攻击流程示意图；
图3为本申请实施例所提供的一种恶意事件的定位系统结构示意图：
图4为本申请实施例所提供的一种终端的结构示意图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
当前针对于恶意软件的检测过程，仅仅采用单点检测，即针对被检测点进行分析，但被检测点通常仅仅是恶意软件的某一个进程或者生成的恶意文件，致阻止和处置成为单点阻止和单点处置，无法彻底的阻止和处置恶意软件，容易造成恶意软件死灰复燃。
为解决上述问题，图1为本申请实施例所提供的一种恶意事件的定位方法的流程图，该方法包括：
S101：确认恶意事件检测点；
本步骤需要确认恶意事件检测点，该恶意事件检测点可以为任意已知的检测点，即可以为恶意事件表征出的文件或者进程。需要注意的是，本实施例对于恶意事件检测点的数量不作具体限定，其至少为一个，也可以为多个，均可以实施本申请提供的恶意事件的定位过程。当然，若包含多个恶意事件检测点，能提高后续恶意攻击流程的确定效率，从而快速确认全部恶意事件。
S102：在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
本步骤旨在基于恶意事件检测点在数据库中进行向上回溯和向下回溯，从而确定与恶意事件相关联的目标原始事件。
本实施例默认在执行本步骤前需要根据配置数据库，在此对于数据库的具体配置方法不作限定，该数据库集合了所有原始事件。原始事件通常以进程为单位，即记录每个进程对应的事件，或者触发进程的事件。进程对应的事件包括进程创建销毁事件、线程创建销毁事件、文件创建、只读修改事件、注册表创建和修改事件和网络连接事件中的一项或任意几项的组合。而触发进程的事件包括解压操作、点击操作等等。本实施例在此提供一种优选的数据库配置方式，即可以先收集所有原始事件，再将所有原始事件以预设存储格式存于数据库。当然，在此对于该预设存储格式不作具体限定，其可以以表结构存入数据库，即针对每个原始事件，按照时间顺序或者进程执行顺序列表，并存入数据库。也可以为其他预设存储格式，在此不一一举例限定。需要注意的是，数据库的配置过程与步骤S101之间并无既定的执行顺序限定，本实施例仅要求数据库在本步骤执行前配置完成即可。
在数据库已配置完成时，本步骤通过数据库进行回溯，通常可以在数据库中按照时间顺序对所述恶意事件检测点分别进行向上回溯和向下回溯。此时，向上回溯指在恶意事件检测点执行时间之前的原始事件的检索，向下回溯指在恶意事件检测点执行时间之后的原始事件的检索，当然也可以按原始事件的执行顺序进行回溯，也应在本申请的保护范围内。而无论采用何种回溯方式，回溯所得到的目标原始事件为与恶意事件检测点相关联的事件。相关联的目标原始事件可以为与恶意事件检测点相关联进程的目标原始事件，或生成恶意事件检测点所属进程的目标原始事件。相关联进程可以为确定与恶意事件检测点相同进程或存在父子进程关系的原始事件。即若进程与恶意事件检测点对应的进程属于相同进程，或者存在父子关系，即可视为相关联进程。需要注意的是，该父子关系可以为多级父子关系，例如恶意事件检测点对应的进程若为进程3，其向上回溯确认父进程进程2，以及父进程的父进程进程1，向下回溯确认进程3的子进程进程4，以及进程4的子进程进程5，则本步骤可以确定与恶意事件检测点相关联的目标原始事件包括进程1、进程2、进程4和进程5对应的原始事件，而不应仅仅为进程2和进程4对应的原始事件。
此外，本步骤需要确定的目标为目标原始事件，而并非进程，即需要明确进程所执行的操作，包含操作对象和操作内容。例如进程1若为文件创建进程，则需要明确进程1所创建的文件地址和文件名称，甚至可以包含文件的属性信息，例如文件格式、文件大小和文件类型等。而所能获取到的进程对应原始事件的详细程度，可以通过配置数据库实现。即在采集原始事件并存入数据库时，配置原始事件的详细内容，以便于在确认为恶意事件后进行快速阻止或清除。容易理解的是，目标原始事件至少应包含事件名称和事件地址，用于实现恶意事件的快速阻止或清除。
S103：根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
本步骤旨在构建恶意行为逻辑关系，即根据目标原始事件的执行顺序，确认各目标原始事件之间的逻辑关系。由于一个进程可以触发若干进程，也可以被若干进程所触发，因此本步骤重点在梳理目标原始事件之间的行为逻辑关系，即明确每个进程被哪个进程所触发或者生成，以及该进程触发或者生成了哪些进程，从而构建恶意行为的逻辑关系。换句话说，本步骤需要明确恶意事件所对应的恶意程序如何进入系统，如何被执行，所发生的所有恶意事件，及各个恶意事件执行的逻辑关系，明确生成的文件、变更的系统设置、触发的操作等等。
S104：根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
在步骤S103确认逻辑关系后，即可根据逻辑关系确定恶意事件检测点对应的恶意攻击流程。在此对于如何确定恶意攻击流程不作具体限定，其目的在于确认恶意攻击事件的始末。本实施例在此提供一种本步骤的优选执行过程：
S1041：根据恶意行为逻辑关系确认恶意行为入口点；
S1042：以恶意行为入口点为起始点向下回溯构建恶意行为图，或以恶意行为入口点为根节点向下回溯构建恶意行为树。
首先向上回溯确定恶意行为的入口点，该恶意行为入口点指向上回溯所得到的目标原始事件中的源头，通常为执行时间最早的原始事件，其可以由于用户不当操作所触发，例如用户下载并打开包含病毒的文件，也可以为恶意攻击侵入所生成的原始事件，均可以为恶意行为入口点。
在定位得到恶意行为入口点后，可以构建恶意行为图或者恶意行为树，即以恶意行为入口点为起始点向下回溯构建恶意行为图，或以恶意行为入口点为根节点向下回溯构建恶意行为树。无论是恶意行为图还是恶意行为树，均用于直接体现恶意事件的攻击流程始末，用于展示恶意事件检测点对应的恶意攻击流程。当然，恶意攻击流程并不必须通过恶意行为图或恶意行为树所生成，还可以采用其他方式，在此不一一举例限定。
在确认恶意攻击流程后，还可以生成相应的恶意事件分析报告，其中可以包括上文所描述的恶意行为图或者恶意行为树，便于用户直接明确本次恶意攻击事件的整个流程，从而有助于对恶意事件进行根除或完全阻止。
本申请实施例在确认恶意事件检测点后，基于恶意事件检测点进行向上回溯和向下回溯，从而定位与恶意事件检测点相关联的原始事件，从而得到恶意行为逻辑关系，能够明确恶意事件的执行过程，并确认其恶意攻击流程，能够在恶意攻击流程的基础上，从恶意事件源头进行处置，并有效清楚由恶意事件触发的所有原始事件，从而实现对恶意事件彻底的阻值和处置，防止恶意事件由于处置不完全而复发，有效的提高了设备被恶意软件攻击时的防护效果。
下文以本申请的一种具体应用过程进行说明，以被系统检测到的开机自启动项中的恶意程序virus.exe作为恶意事件检测点进行说明：
对恶意程序virus.exe进行向上回溯，确定其由reg.exe程序建立，即reg.exe程序对应进程为恶意程序virus.exe对应进程的父进程，且进行向上回溯时发现reg.exe程序同时生成程序scrnos.exe，则程序scrnos.exe与恶意程序virus.exe具有相同的父进程，属于相关联进程的目标原始事件。
继续向上回溯，确认reg.exe程序位于％TEMP％目录，并由xxx.ps脚本启动certutil下载所得到，同时发现％TEMP％目录下还包括程序scrnos.exe。Certutil是Windows操作系统上预装的工具，可用于文件校验、下载恶意文件和免杀。则可以认为xxx.ps脚本对应进程为reg.exe程序对应进程的父进程，且启动Certutil的进程同时下载了程序scrnos.exe，则程序scrnos.exe同样为相关联进程的目标原始事件，而％TEMP％目录属于xxx.ps脚本对应进程所属原始事件的事件地址。需要注意的是，Certutil仅起到工具作用。
继续向上回溯，确认xxx.ps脚本由恶意文档xxx.docx中包含的恶意VBA宏脚本下载xxx.ps脚本，并由WMI(Windows Management Instrumentation，系统插件)调用powershell.exe执行，则恶意VBA宏脚本对应进程和powershell.exe对应进程均可以视为xxx.ps脚本对应进程的父进程，即一个实现下载，另一个实现启动。则可以确认恶意VBA宏脚本和调用powershell.exe均为相关联进程的目标原始事件。
继续向上回溯，确认恶意文档xxx.docx由用户双击打开，则明确用户双击打开恶意文档xxx.docx为恶意行为入口点。此时，根据上述回溯过程，可以得到的恶意行为逻辑关系如下：
1)用户通过双击打开了恶意文档xxx.docx；
2)恶意文档xxx.docx中包含的恶意VBA宏脚本下载xxx.ps脚本，并且通过WMI调用powershell.exe执行该xxx.ps脚本；
3)xxx.ps脚本通过certutil下载恶意程序scrnos.exe和virus.exe到％TEMP％目录；
4)xxx.ps脚本调用reg.exe对scrnos.exe和virus.exe建立开机自启动项；
5)xxx.ps脚本启动virus.exe，virus.exe在运行过程中被检测为恶意程序；
同时可以构建对应的恶意行为图，如图2所示，图2为本申请实施例所提供的一种恶意攻击流程示意图。
若因为检测软件只检测出virus.exe为恶意程序只处置virus.exe，则其残留的恶意程序自启动项scrnos.exe还是会执行。通过根本原因分析报告可以彻底清除掉恶意程序，包括程序virus.exe、程序scrnos.exe、xxx.ps脚本、恶意文档xxx.docx和自启动项。可见，本申请能够完全清除所有恶意程序，避免其死灰复燃，保证系统安全。
图3为本申请实施例所提供的一种恶意事件的定位系统结构示意图，本申请还提供一种恶意事件的定位系统，包括：
检测点确认模块100，用于确认恶意事件检测点；
回溯模块200，用于在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
逻辑确认模块300，用于根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
事件定位模块400，用于根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
基于上述实施例，作为优选的实施例，所述事件定位模块400可以包括：
起点定位单元，用于根据所述恶意行为逻辑关系确认恶意行为入口点；
事件定位单元，用于以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
基于上述实施例，作为优选的实施例，该定位系统还可以包括：
事件收集模块，用于收集所有原始事件；将所有所述原始事件以预设存储格式存于所述数据库。
基于上述实施例，作为优选的实施例，回溯模块200包括：
回溯单元，用于在数据库中按照时间顺序对所述恶意事件检测点分别进行向上回溯和向下回溯；
事件定位单元，用于确定与所述恶意事件检测点相关联进程的目标原始事件，或生成所述恶意事件检测点所属进程的目标原始事件。
基于上述实施例，作为优选的实施例，事件定位单元包括：
进程回溯子单元，用于确定与所述恶意事件检测点相同进程或存在父子进程关系的原始事件。
基于上述实施例，作为优选的实施例，事件定位模块400可以包括：
入口定位单元，用于根据所述恶意行为逻辑关系确认恶意行为入口点；
恶意行为流程定位单元，用于以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
本申请还提供了一种计算机可读存储介质，其上存有计算机程序，该计算机程序被执行时可以实现上述实施例所提供的恶意事件的定位方法的步骤。该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random AccessMemory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
本申请还提供了一种终端，可以包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时，可以实现上述实施例所提供的恶意事件的定位方法的步骤。当然所述终端还可以包括各种网络接口，电源等组件。请参见图4，图4为本申请实施例所提供的一种终端的结构示意图，本实施例的终端可以包括：处理器2101和存储器2102。
可选的，该终端还可以包括通信接口2103、输入单元2104和显示器2105和通信总线2106。
处理器2101、存储器2102、通信接口2103、输入单元2104、显示器2105、均通过通信总线2106完成相互间的通信。
在本申请实施例中，该处理器2101，可以为中央处理器(Central ProcessingUnit，CPU)，特定应用集成电路，数字信号处理器、现成可编程门阵列或者其他可编程逻辑器件等。
该处理器可以调用存储器2102中存储的程序。具体的，处理器可以执行上文的实施例中终端所执行的操作。
存储器2102中用于存放一个或者一个以上程序，程序可以包括程序代码，所述程序代码包括计算机操作指令，在本申请实施例中，该存储器中至少存储有用于实现以下功能的程序：
确认恶意事件检测点；
在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。在一种可能的实现方式中，该存储器2102可包括存储程序区和存储数据区，其中，存储程序区可存储操作系统等；存储数据区可存储根据计算机的使用过程中所创建的数据。
此外，存储器2102可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件或其他易失性固态存储器件。
该通信接口2103可以为通信模块的接口，如GSM模块的接口。
本申请还可以包括显示器2105和输入单元2104等等。
图4所示的终端的结构并不构成对本申请实施例中终端的限定，在实际应用中终端可以包括比图4所示的更多或更少的部件，或者组合某些部件。
说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例提供的系统而言，由于其与实施例提供的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。
还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
Claims (10)
1.一种恶意事件的定位方法，其特征在于，包括：
确认恶意事件检测点；
在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
2.根据权利要求1的定位方法，其特征在于，在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述被检测点相关联的原始事件之前，还包括：
收集所有原始事件；
将所有所述原始事件以预设存储格式存于所述数据库。
3.根据权利要求1的定位方法，其特征在于，在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件包括：
在数据库中按照时间顺序对所述恶意事件检测点分别进行向上回溯和向下回溯；
确定与所述恶意事件检测点相关联进程的目标原始事件，或生成所述恶意事件检测点所属进程的目标原始事件。
4.根据权利要求3的定位方法，其特征在于，确定与所述恶意事件检测点相关联进程的原始事件包括：
确定与所述恶意事件检测点相同进程或存在父子进程关系的原始事件。
5.根据权利要求1的定位方法，其特征在于，根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程包括：
根据所述恶意行为逻辑关系确认恶意行为入口点；
以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
6.根据权利要求2的定位方法，其特征在于，所述原始事件包括进程创建销毁事件、线程创建销毁事件、文件创建、只读修改事件、注册表创建和修改事件和网络连接事件中的一项或任意几项的组合。
7.一种恶意事件的定位系统，其特征在于，包括：
检测点确认模块，用于确认恶意事件检测点；
回溯模块，用于在数据库中对所述恶意事件检测点分别进行向上回溯和向下回溯，确定与所述恶意事件检测点相关联的目标原始事件；
逻辑确认模块，用于根据所述目标原始事件的执行顺序构建恶意行为逻辑关系；
事件定位模块，用于根据所述逻辑关系确定所述恶意事件检测点对应的恶意攻击流程；所述恶意攻击流程用于定位恶意事件检测点相关联的所有恶意事件。
8.根据权利要求7的定位系统，其特征在于，所述事件定位模块包括：
起点定位单元，用于根据所述恶意行为逻辑关系确认恶意行为入口点；
事件定位单元，用于以所述恶意行为入口点为起始点向下回溯构建恶意行为图，或以所述恶意行为入口点为根节点向下回溯构建恶意行为树；所述恶意行为图或所述恶意行为树用于展示所述恶意事件检测点对应的恶意攻击流程。
9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-6任一项所述的恶意事件的定位方法的步骤。
10.一种终端，其特征在于，包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1-6任一项所述的恶意事件的定位方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110608913.1A CN113315775A (zh) | 2021-06-01 | 2021-06-01 | 恶意事件的定位方法、系统、存储介质和终端 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110608913.1A CN113315775A (zh) | 2021-06-01 | 2021-06-01 | 恶意事件的定位方法、系统、存储介质和终端 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN113315775A true CN113315775A (zh) | 2021-08-27 |
Family
ID=77376822
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110608913.1A Pending CN113315775A (zh) | 2021-06-01 | 2021-06-01 | 恶意事件的定位方法、系统、存储介质和终端 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113315775A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114826685A (zh) * | 2022-03-30 | 2022-07-29 | 深信服科技股份有限公司 | 一种信息分析方法、设备和计算机可读存储介质 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7472420B1 (en) * | 2008-04-23 | 2008-12-30 | Kaspersky Lab, Zao | Method and system for detection of previously unknown malware components |
| CN107292169A (zh) * | 2016-03-31 | 2017-10-24 | 阿里巴巴集团控股有限公司 | 恶意软件的威胁溯源方法及装置 |
| CN109271760A (zh) * | 2018-08-08 | 2019-01-25 | 北京奇虎科技有限公司 | 文件回溯方法、装置和设备 |
| CN110826067A (zh) * | 2019-10-31 | 2020-02-21 | 深信服科技股份有限公司 | 一种病毒检测方法、装置、电子设备及存储介质 |
| CN112257065A (zh) * | 2020-09-28 | 2021-01-22 | 网宿科技股份有限公司 | 一种进程事件处理方法和装置 |
-
2021
- 2021-06-01 CN CN202110608913.1A patent/CN113315775A/zh active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7472420B1 (en) * | 2008-04-23 | 2008-12-30 | Kaspersky Lab, Zao | Method and system for detection of previously unknown malware components |
| CN107292169A (zh) * | 2016-03-31 | 2017-10-24 | 阿里巴巴集团控股有限公司 | 恶意软件的威胁溯源方法及装置 |
| CN109271760A (zh) * | 2018-08-08 | 2019-01-25 | 北京奇虎科技有限公司 | 文件回溯方法、装置和设备 |
| CN110826067A (zh) * | 2019-10-31 | 2020-02-21 | 深信服科技股份有限公司 | 一种病毒检测方法、装置、电子设备及存储介质 |
| CN112257065A (zh) * | 2020-09-28 | 2021-01-22 | 网宿科技股份有限公司 | 一种进程事件处理方法和装置 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114826685A (zh) * | 2022-03-30 | 2022-07-29 | 深信服科技股份有限公司 | 一种信息分析方法、设备和计算机可读存储介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Monnappa | Learning Malware Analysis: Explore the concepts, tools, and techniques to analyze and investigate Windows malware | |
| US20130167236A1 (en) | Method and system for automatically generating virus descriptions | |
| CN110717183B (zh) | 病毒查杀方法、装置、设备及存储介质 | |
| CN106650436B (zh) | 一种基于局域网的安全检测方法和装置 | |
| Vidas et al. | A5: Automated analysis of adversarial android applications | |
| US20200084230A1 (en) | Method And System For Modeling All Operations And Executions Of An Attack And Malicious Process Entry | |
| CN106874366B (zh) | 软件信息的处理方法及装置 | |
| US20100293615A1 (en) | Method and apparatus for detecting the malicious behavior of computer program | |
| CN111831275B (zh) | 一种编排微场景剧本的方法、服务器、介质及计算机设备 | |
| US20160156645A1 (en) | Method and apparatus for detecting macro viruses | |
| CN113486350B (zh) | 恶意软件的识别方法、装置、设备及存储介质 | |
| CN113079151B (zh) | 一种异常处理方法、装置、电子设备及可读存储介质 | |
| CN110059007B (zh) | 系统漏洞扫描方法、装置、计算机设备及存储介质 | |
| CN115454496A (zh) | 一种软件物料清单的生成方法和装置 | |
| CN113315775A (zh) | 恶意事件的定位方法、系统、存储介质和终端 | |
| CN113709147B (zh) | 网络安全事件的响应方法、装置及设备 | |
| KR101431192B1 (ko) | 모바일 단말의 루팅 공격 이벤트 검출 방법 | |
| CN109145589B (zh) | 应用程序获取方法及装置 | |
| CN107729748B (zh) | 一种描述文件在沙箱中运行轨迹图的方法 | |
| CN112395603B (zh) | 基于指令执行序列特征的漏洞攻击识别方法、装置及计算机设备 | |
| CN115270126B (zh) | 一种检测Java内存马的方法、装置、电子设备及存储介质 | |
| CN108363919B (zh) | 一种病毒专杀工具生成方法及系统 | |
| US10783249B2 (en) | Root virus removal method and apparatus, and electronic device | |
| US10878094B2 (en) | Root virus removal method and apparatus, and electronic device | |
| Liu et al. | Correlating ui contexts with sensitive api calls: Dynamic semantic extraction and analysis |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210827 |