CN116910757B - 一种多进程检测系统、电子设备及存储介质 - Google Patents

Abstract

本发明提供了一种多进程检测系统、电子设备及存储介质，涉及安全检测领域，该系统包括检测顺序确定模块和n个检测进程，每一检测进程具有其唯一对应的检测队列和目标恶意检测规则；检测顺序确定模块中存储有每一目标恶意检测规则对应的恶意样本向量；检测进程用于从其对应的检测队列中获取待检测文件，并根据其对应的目标恶意检测规则对获取到的待检测文件进行恶意检测。本发明根据每一恶意样本向量，确定对应的检测进程对待检测文件的检测顺序，待检测文件根据需要调用的目标恶意检测规则确定检测进程，检测进程在接收到待检测文件后，只需调用对应的目标恶意检测规则对待检测文件进行恶意检测，节省了每个检测进程的存储空间和检测算力。

Description

一种多进程检测系统、电子设备及存储介质

技术领域

本发明涉及安全检测领域，特别是涉及一种多进程检测系统、电子设备及存储介质。

背景技术

目前对文件进行恶意检测的检测系统大多为单进程结构，即需要进行恶意检测的若干待检测文件均通过一个进程进行检测，且单进程检测系统中存储有针对不同类型的待检测文件的检测规则，由于每个待检测文件所应用的检测规则不同，所以，单进程检测系统每对一个待检测文件进行检测时，均需要调用对应的检测规则，对进程的运行负载带来一定的压力，且当待检测文件的数量较多时，由于待检测文件的文件大小和恶意检测的处理时间的不同，会造成进程堵塞，影响其他文件的正常检测。

发明内容

有鉴于此，本发明提供一种多进程检测系统、电子设备及存储介质，至少部分解决现有技术中单进程检测系统存在的检测规则调用繁琐及进程堵塞的技术问题，本发明采用的技术方案为：

根据本申请的一个方面，提供一种多进程检测系统，包括检测顺序确定模块和n个检测进程，每一检测进程具有其唯一对应的检测队列和目标恶意检测规则；检测顺序确定模块中存储有每一目标恶意检测规则对应的恶意样本向量；检测进程用于从其对应的检测队列中获取待检测文件，并根据其对应的目标恶意检测规则对获取到的待检测文件进行恶意检测。

其中，检测顺序确定模块用于执行以下步骤：

步骤S100、根据每一恶意样本向量，确定对应的目标恶意检测规则对待检测文件的检测顺序；

步骤S200、根据检测顺序，确定待检测文件对应的检测队列标识集A=(A₁,A₂,...,A_i,...,A_n)；其中，i=1,2,...,n；A_i为检测顺序在第i位的检测队列对应的检测队列标识；

步骤S300、根据检测队列标识集A，将待检测文件依次发送到至少部分检测队列中。

在本申请的一种示例性实施例中，在待检测文件被发送至A_i对应的检测队列中后，仅在接收到A_i对应的检测进程返回的检测结果为第一结果时，将待检测文件发送至A_i+1对应的检测队列中；其中，第一结果表征待检测文件为非恶意文件。

在本申请的一种示例性实施例中，若A_i对应的检测进程返回的检测结果为第二结果时，则结束对待检测文件的恶意检测；其中，第二结果表征待检测文件为恶意文件。

在本申请的一种示例性实施例中，步骤S300包括：

步骤S310、获取i=1；

步骤S320、确定A_i对应的检测队列是否为空；若为空，则将待检测文件发送至A_i对应的检测队列中，并执行步骤S330；否则，根据预设更新规则对i进行更新处理；

步骤S330、在接收到A_i对应的检测进程返回的检测结果为第一结果时，获取i=i+1，并执行步骤S320。

在本申请的一种示例性实施例中，根据预设更新规则对i进行更新处理，包括：

步骤S321、获取A_i对应的检测队列中每一历史待检测文件的文件大小L_i1,L_i2,...,L_ij,...,L_if(i)；其中，j=1,2,...,f(i)；f(i)为A_i对应的检测队列中的历史待检测文件的数量；L_ij为A_i对应的检测队列中第j个历史待检测文件的文件大小；

步骤S322、获取A_i对应的目标恶意检测规则的目标检测效率P_i；

步骤S323、确定A_i对应的检测队列的目标等待时长；

步骤S324、若M_i＜M₀，则将待检测文件发送至A_i对应的检测队列中，并执行步骤S330；其中，M₀为预设等待时长阈值。

在本申请的一种示例性实施例中，步骤S324还包括：

若M_i≥M₀，则执行步骤S340；

步骤S340、获取r=1；

步骤S341、获取A_i+r对应的检测队列中每一历史待检测文件的文件大小K_(i+r)1,K_(i+r)2,...,K_(i+r)e,...,K_(i+r)f(i+r)；其中，e=1,2,...,f(i+r)；f(i+r)为A_i+r对应的检测队列中的历史待检测文件的数量；K_(i+r)e为A_i+r对应的检测队列中第e个历史待检测文件的文件大小；

步骤S342、获取A_i+r对应的目标恶意检测规则的目标检测效率P_i+r；

步骤S343、确定A_i+r对应的检测队列的目标等待时长；其中，T₀为待检测文件的检测时长；

步骤S344、若M_i+r＜M_i，则将待检测文件发送至A_i+r对应的检测队列中，并执行步骤S345；

步骤S345、将A_i+r从检测队列标识集A中删除，并执行步骤S346；

步骤S346、在接收到A_i+r对应的检测进程返回的检测结果为第一结果时，执行步骤S320。

在本申请的一种示例性实施例中，步骤S344还包括：

若M_i+r≥M_i，则获取r=r+1，并执行步骤S341。

在本申请的一种示例性实施例中，检测进程在接收到待检测文件时执行以下步骤：

步骤S400、获取待检测文件对应的IDB文件；

步骤S410、对IDB文件进行解析，得到目标json文件；目标json文件中包含待检测文件中的若干PE文件信息；PE文件信息包含目标指令信息和目标指令信息对应的目标相对存储地址字段；每一目标指令信息具有对应的目标指令信息类型；

步骤S420、从目标json文件中的若干PE文件信息内确定出若干目标指令信息，以得到目标指令信息列表；目标指令信息列表中的目标指令信息根据对应的目标相对存储地址的先后顺序排列；

步骤S430、根据对应的目标恶意检测规则对目标指令信息列表进行恶意检测，得到并返回待检测文件对应的检测结果。

在本申请的一种示例性实施例中，步骤S100包括：

步骤S110、根据目标json文件对应的若干目标指令信息类型，确定目标json文件对应的目标指令向量；

步骤S120、根据目标指令向量与若干恶意样本向量的匹配度，确定若干目标恶意检测规则对待检测文件的检测顺序。

在本申请的一种示例性实施例中，目标指令向量通过以下步骤确定：

步骤S111、根据h个第一指令信息类型，得到第一初始特征向量E=(E₁,E₂,...,E_a,...,E_h)；其中，a=1,2,...,h；E_a为E中第a个第一指令信息类型对应的特征信息；E_a的初始值为NULL；

步骤S112、遍历第一初始特征向量E，若目标json文件中包含E_a对应的第一指令信息类型的目标指令信息，则将E_a确定为1；否则，将E_a确定为0；

步骤S113、将赋值后的第一初始特征向量E确定为目标json文件对应的目标指令向量。

根据本申请的一个方面，提供一种非瞬时性计算机可读存储介质，所述存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现前述的多进程检测系统所执行的方法步骤。

根据本申请的一个方面，提供一种电子设备，包括处理器和前述的非瞬时性计算机可读存储介质。

本发明至少具有以下有益效果：

本发明的多进程检测系统包括检测顺序确定模块和若干个检测进程，每个检测进程具有对应的检测队列和目标恶意检测规则，检测顺序确定模块中存储有每一目标恶意检测规则对应的恶意样本向量，根据每一恶意样本向量，确定对应的检测进程对待检测文件的检测顺序，根据检测顺序，将待检测文件依次发送至对应的检测进程的检测队列中，检测进程根据对应的目标恶意检测规则对接收到的待检测文件进行恶意检测，待检测文件根据需要调用的目标恶意检测规则确定检测进程，检测进程在接收到待检测文件后，只需调用对应的目标恶意检测规则对待检测文件进行恶意检测，无需调用其他目标恶意检测规则，缩短了检测时间，也节省了每个检测进程的存储空间和检测算力。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的多进程检测系统的框图；

图2为本发明实施例提供的检测顺序确定模块的执行方法的流程图；

图3为本发明实施例提供的检测进程在接收到待检测文件时的执行方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种多进程检测系统，如图1所示，包括检测顺序确定模块和n个检测进程，每一检测进程具有其唯一对应的检测队列和目标恶意检测规则；检测顺序确定模块中存储有每一目标恶意检测规则对应的恶意样本向量；恶意样本向量根据目标恶意检测规则对应的若干恶意样本文件得到；检测进程用于从其对应的检测队列中获取待检测文件，并根据其对应的目标恶意检测规则对获取到的待检测文件进行恶意检测。

检测顺序确定模块用于确定待检测文件的目标恶意检测规则的检测顺序，即不同的检测进程对待检测文件的检测顺序。通过确定目标恶意检测规则的检测顺序，可以避免发生进程堵塞的情况，更快的检测出待检测文件是否为恶意文件。

目标恶意检测规则为用于对待检测文件进行恶意检测的检测规则，每一目标恶意检测规则对应有一恶意样本向量，恶意样本向量为根据若干恶意样本文件的样本指令信息类型得到的，通过每一恶意样本向量，可得知通过对应的目标恶意检测规则检测为恶意文件的恶意样本文件中的指令信息的类型。

其中，恶意样本向量通过以下方法确定：

步骤S010、获取若干个恶意样本文件；

恶意样本文件为确定为恶意文件的PE文件。

步骤S020、根据若干个目标恶意检测规则，对若干个恶意样本文件进行分组，得到每个目标恶意检测规则对应的若干个恶意样本文件；

每个恶意样本文件对应有一个目标恶意检测规则，即该恶意样本文件是通过其对应的目标恶意检测规则检测为恶意文件的。先统计所有恶意样本文件对应的目标恶意检测规则的数量，再根据统计出的每一目标恶意检测规则，对若干个恶意样本文件进行分组，得到每个目标恶意检测规则对应的恶意样本文件组，每个恶意样本文件组中包括若干个恶意样本文件，即同一个恶意样本文件组中的所有恶意样本文件对应的目标恶意检测规则相同。

步骤S030、根据每一恶意样本文件对应的样本指令信息类型，得到每一恶意样本文件对应的指令类型特征向量；

样本指令信息类型为对应的恶意样本文件中包括的汇编指令信息的类型，如call指令、push指令等，先预设一个初始样本向量，初始样本向量中有若干个指令信息类型对应的特征信息，初始样本向量中的每一特征信息为空，再将初始样本向量中的每一特征信息对应的指令信息类型与恶意样本文件的样本指令信息类型做对比，若存在相同的指令信息类型，则将初始样本向量对应的特征信息确定为1，若没有相同的指令信息类型，则将初始样本向量对应的特征信息确定为0，遍历完所有指令信息类型后，将得到的初始样本向量确定为对应的恶意样本文件的指令类型特征向量。

步骤S040、对每一目标恶意检测规则对应的若干恶意样本文件的指令类型特征向量进行向量平均处理，得到每一目标恶意检测规则对应的恶意样本向量。

得到每一恶意样本文件的指令类型特征向量后，对属于同一个恶意样本文件组中的所有恶意样本文件的指令类型特征向量进行向量平均处理，得到每一目标恶意检测规则对应的恶意样本向量，恶意样本向量可以反映出对应的目标恶意检测规则通过哪些指令信息类型检测出的恶意文件。

其中，目标恶意检测规则通过以下步骤确定：

步骤S050、获取若干个恶意样本文件对应的恶意样本检测规则；

步骤S060、将经过去重处理后得到的若干个恶意样本检测规则确定为目标恶意检测规则。

其中，如图2所示，检测顺序确定模块用于执行以下步骤：

步骤S100、根据每一恶意样本向量，确定对应的目标恶意检测规则对待检测文件的检测顺序；

待检测文件为PE文件。

进一步，步骤S100包括：

步骤S110、根据目标json文件对应的若干目标指令信息类型，确定目标json文件对应的目标指令向量；

目标指令向量表示目标json文件中包含的目标指令信息的类型，目标json文件为待检测文件进行解析得到的，目标json文件中包含待检测文件中的若干文件信息，如指令信息、网址信息、地址信息、用户信息等。

由于文件中的函数及其参数可以更好的体现该文件的恶意行为，而在参数中的字符串又是直观体现的，因此，需要对接收到的待检测文件进行解析，得到目标json文件，目标json文件可以清晰的表示待检测文件中的函数调用关系以及字符串参数的传递，即待检测文件执行了哪些指令，通过这些指令完成何种行为，所以，将待检测文件解析为目标json文件，可以更清楚的获知待检测文件需要执行的指令，通过获取对应的指令信息类型，得到对应的目标指令向量。

其中，目标json文件通过以下步骤获得：

步骤S1101、将待检测文件输入至IDA解析工具中，得到待检测文件对应的IDB文件；

步骤S1102、对IDB文件进行解析处理，得到若干个PE文件信息；

步骤S1103、根据若干个PE文件信息，得到目标json文件；

IDA解析工具为一种PE文件的解析工具，通过IDA解析工具得到待检测文件对应的IDB文件，将IDB文件中的若干PE文件信息解析出来，得到目标json文件。IDB文件，即Indexed Database，中文名为“索引化数据库”，是一种可在浏览器端进行本地保存和存储数据的技术。

传统的获取文件指令信息的方法是利用解析模块的API获取文件的汇编代码，通过汇编代码确定PE函数及其参数，此种方法的效率低下，且会产生大量的无用数据占用空间，特别在批量自动化检测的过程中尤为明显，得到结果非常慢，生成的日志也很大，导致恶意样本分析的效率很低，对工作进度有很大影响。所以，本发明中通过IDA解析工具对待检测文件进行解析，以及生成目标json文件的方法，可以在去除大量无用信息的同时，还不影响对关键信息的提取，同样也可以减少信息的储存空间，便于对指令信息的定位，提高了检测效率。

其中，目标指令向量通过以下步骤确定：

步骤S111、根据h个第一指令信息类型，得到第一初始特征向量E=(E₁,E₂,...,E_a,...,E_h)；其中，a=1,2,...,h；E_a为E中第a个第一指令信息类型对应的特征信息；E_a的初始值为NULL；

目标指令向量的第一指令信息类型的数量和恶意样本向量的指令信息类型的数量相等，即均为h个，且若干第一指令信息类型与恶意样本向量的若干指令信息类型相同，且每个向量中的同一个位置的特征信息对应的指令信息类型相同，如目标指令向量中的第一位特征信息对应的指令信息类型和每一恶意样本向量中的第一位特征信息对应的指令信息类型均为call指令，便于后续目标指令向量与每一恶意样本向量的对比。

步骤S112、遍历第一初始特征向量E，若目标json文件中包含E_a对应的第一指令信息类型的目标指令信息，则将E_a确定为1；否则，将E_a确定为0；

步骤S113、将赋值后的第一初始特征向量E确定为目标json文件对应的目标指令向量。

目标指令向量的确定方法与恶意样本向量的确定方法相同，均是通过确定对应的文件中包含的指令信息类型，确定对应的指令向量。

步骤S120、根据目标指令向量与若干恶意样本向量的匹配度，确定若干目标恶意检测规则对待检测文件的检测顺序。

若干目标恶意检测规则对待检测文件的检测顺序通过以下步骤确定：

步骤S121、计算目标指令向量与每一恶意样本向量的向量匹配度，得到每一恶意样本向量对应的向量匹配度；

步骤S122、根据数值递减顺序，对每一向量匹配度进行排列，得到对应的排列后向量匹配度列表；

步骤S123、将排列后向量匹配度列表中每一向量匹配度的排列顺序确定为对应的目标恶意检测规则的检测顺序。

将若干个目标恶意检测规则根据匹配度的递减进行排序，得到对应的检测顺序，匹配度越大，表示对应的目标恶意检测规则检测待检测文件为恶意文件的概率越大。若干目标恶意检测规则通过检测顺序对待检测文件进行恶意检测，从匹配度高的目标恶意检测规则对待检测文件进行检测，可以缩短检测出恶意文件的检测时间，提高检测效率。

步骤S200、根据检测顺序，确定待检测文件对应的检测队列标识集A=(A₁,A₂,...,A_i,...,A_n)；其中，i=1,2,...,n；A_i为检测顺序在第i位的检测队列对应的检测队列标识；

A₁,A₂,...,A_i,...,A_n对应的检测队列标识的顺序即目标恶意检测规则对待检测文件的检测顺序。

步骤S300、根据检测队列标识集A，将待检测文件依次发送到至少部分检测队列中。

进一步，步骤S300包括：

步骤S310、获取i=1；

步骤S320、确定A_i对应的检测队列是否为空；若为空，则将待检测文件发送至A_i对应的检测队列中，并执行步骤S330；否则，根据预设更新规则对i进行更新处理。

从A₁对应的目标恶意检测规则开始对待检测文件进行恶意检测，A₁对应的目标恶意检测规则即匹配度最高的目标恶意检测规则，将待检测文件发送至A₁对应的检测队列前，先确定其是否为空，即当前时刻的A₁对应的检测队列中有无其他待检测文件或正在检测的文件，若没有，则将待检测文件发送至A₁对应的检测队列中，由A₁对应的目标恶意检测规则对待检测文件进行恶意检测；若有，则需要根据预设更新规则对i进行更新处理，重新确定待检测文件的目标恶意检测规则的顺序。

进一步，步骤S320中，根据预设更新规则对i进行更新处理，包括：

步骤S321、获取A_i对应的检测队列中每一历史待检测文件的文件大小L_i1,L_i2,...,L_ij,...,L_if(i)；其中，j=1,2,...,f(i)；f(i)为A_i对应的检测队列中的历史待检测文件的数量；L_ij为A_i对应的检测队列中第j个历史待检测文件的文件大小；

历史待检测文件即对应的检测队列中的其他待检测文件或正在检测的文件。

步骤S322、获取A_i对应的目标恶意检测规则的目标检测效率P_i；

步骤S323、确定A_i对应的检测队列的目标等待时长；

通过检测队列中的历史待检测文件的文件大小和目标检测效率，确定对应的目标等待时长，即若要将待检测文件置于对应的检测队列中，还需目标等待时长，才能对待检测文件进行检测。

步骤S324、若M_i＜M₀，则将待检测文件发送至A_i对应的检测队列中，并执行步骤S330；若M_i≥M₀，则执行步骤S340；其中，M₀为预设等待时长阈值。

步骤S330、在接收到A_i对应的检测进程返回的检测结果为第一结果时，获取i=i+1，并执行步骤S320；

在待检测文件被发送至A_i对应的检测队列中后，仅在接收到A_i对应的检测进程返回的检测结果为第一结果时，将待检测文件发送至A_i+1对应的检测队列中；若A_i对应的检测进程返回的检测结果为第二结果时，则结束对待检测文件的恶意检测；其中，第一结果表征待检测文件为非恶意文件，第二结果表征待检测文件为恶意文件。

在接收到任一检测进程返回的检测结果为第二结果时，表示此时已经检测出待检测文件为恶意文件，无需再进行其他目标恶意检测规则的检测，直接退出检测方法，将待检测文件确定为恶意文件；若当前的检测进程返回的检测结果为第一结果时，则表示此时的待检测文件通过已经检测的目标恶意检测规则的检测后，仍为非恶意文件，还需要根据检测顺序，继续将待检测文件置于后续的检测进程中进行后续的恶意检测。

步骤S340、获取r=1；

步骤S341、获取A_i+r对应的检测队列中每一历史待检测文件的文件大小K_(i+r)1,K_(i+r)2,...,K_(i+r)e,...,K_(i+r)f(i+r)；其中，e=1,2,...,f(i+r)；f(i+r)为A_i+r对应的检测队列中的历史待检测文件的数量；K_(i+r)e为A_i+r对应的检测队列中第e个历史待检测文件的文件大小；

步骤S342、获取A_i+r对应的目标恶意检测规则的目标检测效率P_i+r；

步骤S343、确定A_i+r对应的检测队列的目标等待时长；其中，T₀为待检测文件的检测时长；

步骤S344、若M_i+r＜M_i，则将待检测文件发送至A_i+r对应的检测队列中，并执行步骤S345；若M_i+r≥M_i，则获取r=r+1，并执行步骤S341；

步骤S345、将A_i+r从检测队列标识集A中删除，并执行步骤S346；

步骤S346、在接收到A_i+r对应的检测进程返回的检测结果为第一结果时，执行步骤S320。

其中，如图3所示，检测进程在接收到待检测文件时执行以下步骤：

步骤S400、获取待检测文件对应的IDB文件；

步骤S410、对IDB文件进行解析，得到目标json文件；目标json文件中包含待检测文件中的若干PE文件信息；PE文件信息包含目标指令信息和目标指令信息对应的目标相对存储地址字段；每一目标指令信息具有对应的目标指令信息类型；

步骤S420、从目标json文件中的若干PE文件信息内确定出若干目标指令信息，以得到目标指令信息列表；目标指令信息列表中的目标指令信息根据对应的目标相对存储地址的先后顺序排列；

目标json文件中包含待检测文件的若干指令信息，获取目标json文件中包含的目标指令信息和目标指令信息对应的目标相对存储地址字段，目标相对存储地址字段对应的目标相对存储地址为对应的指令信息在寄存器中的存储地址，根据目标相对存储地址字段对应的目标相对存储地址，对每一目标指令信息进行排序，得到对应的目标指令信息列表，目标指令信息列表中的若干目标指令信息根据对应的目标相对存储地址进行排序，可以清楚的表示待检测文件的指令执行顺序，便于对指令信息的检测。

步骤S430、根据对应的目标恶意检测规则对目标指令信息列表进行恶意检测，得到并返回待检测文件对应的检测结果。

每当待检测文件被置于检测进程中，则将该检测进程确定为目标检测进程；根据目标检测进程对应的目标恶意检测规则，对目标指令信息列表进行恶意检测，得到该目标恶意检测规则对应的风险检测值；若风险检测值大于等于预设风险检测值阈值，则将待检测文件确定为恶意文件。

另外，第二实施例中，将待检测文件依次置于检测顺序对应的检测进程中进行恶意检测的方法，还包括：

步骤S500、获取待检测文件对应的检测顺序的检测进程标识A₁,A₂,...,A_i,...,A_n；

步骤S510、获取检测顺序中每一目标恶意检测规则对应的检测进程的平均处理时长t₁,t₂,...,t_i,...,t_n；其中，t_i为检测顺序中第i个目标恶意检测规则对应的检测进程的平均处理时长；

步骤S520、获取检测顺序中每一目标恶意检测规则对应的检测进程的当前等待处理时长y₁,y₂,...,y_i,...,y_n；其中，y_i为检测顺序中第i个目标恶意检测规则对应的检测进程的当前等待处理时长；

步骤S530、根据t_i和y_i，确定检测顺序中第i个目标恶意检测规则对应的检测进程的当前检测处理时长q_i=t_i+y_i；

步骤S540、根据每一检测进程的平均处理时长和当前等待处理时长，将待检测文件置于对应的检测队列中进行恶意检测。

进一步，根据每一检测进程的平均处理时长和当前等待处理时长，将待检测文件置于对应的检测队列中进行恶意检测，包括：

步骤S541、令i=1，若A_i对应的检测进程没有待处理任务，则将待检测文件置于A_i对应的检测进程中进行恶意检测，得到A_i对应的恶意检测结果；若A_i对应的恶意检测结果为第二结果，则将待检测文件确定为恶意文件；否则，令i=i+1，并执行本步骤，直至i=n+1时停止；

步骤S542、若A_i对应的检测进程中存在待处理任务，且q_i为若干未进行恶意检测的检测进程的数值最小的当前检测处理时长，则将待检测文件置于A_i对应的检测进程中进行恶意检测，得到A_i对应的恶意检测结果；若A_i对应的恶意检测结果为第二结果，则将待检测文件确定为恶意文件；否则，令i=i+1，并执行本步骤，直至i=n+1时停止；

步骤S543、若A_i对应的检测进程中存在待处理任务，且q_i不为若干未进行恶意检测的检测进程的数值最小的当前检测处理时长，则将待检测文件同时置于最小的当前检测处理时长的未进行恶意检测的检测进程和检测顺序中A_i的后一个未进行恶意检测的目标恶意检测规则对应的检测进程中进行恶意检测，得到对应的恶意检测结果；若任一恶意检测结果为第二结果，则将待检测文件确定为恶意文件；否则，执行本步骤，直至q_i为未进行恶意检测的检测进程的数值最小的当前检测处理时长。

本发明的多进程检测系统包括检测顺序确定模块和若干个检测进程，每个检测进程具有对应的检测队列和目标恶意检测规则，检测顺序确定模块中存储有每一目标恶意检测规则对应的恶意样本向量，根据每一恶意样本向量，确定对应的检测进程对待检测文件的检测顺序，根据检测顺序，将待检测文件依次发送至对应的检测进程的检测队列中，检测进程根据对应的目标恶意检测规则对接收到的待检测文件进行恶意检测，待检测文件根据需要调用的目标恶意检测规则确定检测进程，检测进程在接收到待检测文件后，只需调用对应的目标恶意检测规则对待检测文件进行恶意检测，无需调用其他目标恶意检测规则，缩短了检测时间，也节省了每个检测进程的存储空间和检测算力，且检测顺序确定模块根据每个检测进程中的历史待检测文件的文件大小和目标检测效率，确定对应的检测队列的目标等待时长，并根据每个目标等待时长，确定待检测文件的检测顺序，避免了进程堵塞的情况发生，提高了检测效率。

本发明的实施例还提供一种计算机程序产品，其包括程序代码，当所述程序产品在电子设备上运行时，所述程序代码用于使该电子设备执行本说明书上述描述的根据本发明各种示例性实施方式的方法中的步骤。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质（可以是CD-ROM，U盘，移动硬盘等）中或网络上，包括若干指令以使得一台计算设备（可以是个人计算机、服务器、移动终端、或者网络设备等）执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式（包括固件、微代码等），或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

根据本发明的这种实施方式的电子设备。电子设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

电子设备以通用计算设备的形式表现。电子设备的组件可以包括但不限于：上述至少一个处理器、上述至少一个储存器、连接不同系统组件（包括储存器和处理器）的总线。

其中，所述储存器存储有程序代码，所述程序代码可以被所述处理器执行，使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

储存器可以包括易失性储存器形式的可读介质，例如随机存取储存器（RAM）和/或高速缓存储存器，还可以进一步包括只读储存器（ROM）。

储存器还可以包括具有一组（至少一个）程序模块的程序/实用工具，这样的程序模块包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线可以为表示几类总线结构中的一种或多种，包括储存器总线或者储存器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。

电子设备也可以与一个或多个外部设备（例如键盘、指向设备、蓝牙设备等）通信，还可与一个或者多个使得用户能与该电子设备交互的设备通信，和/或与使得该电子设备能与一个或多个其它计算设备进行通信的任何设备（例如路由器、调制解调器等等）通信。这种通信可以通过输入/输出（I/O）接口进行。并且，电子设备还可以通过网络适配器与一个或者多个网络（例如局域网（LAN），广域网（WAN）和/或公共网络，例如因特网）通信。如图所示，网络适配器通过总线与电子设备的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质（可以是CD-ROM，U盘，移动硬盘等）中或网络上，包括若干指令以使得一台计算设备（可以是个人计算机、服务器、终端装置、或者网络设备等）执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网（LAN）或广域网（WAN），连接到用户计算设备，或者，可以连接到外部计算设备（例如利用因特网服务提供商来通过因特网连接）。

此外，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种多进程检测系统，其特征在于，包括检测顺序确定模块和n个检测进程，每一所述检测进程具有其唯一对应的检测队列和目标恶意检测规则；所述检测顺序确定模块中存储有每一所述目标恶意检测规则对应的恶意样本向量；所述检测进程用于从其对应的检测队列中获取待检测文件，并根据其对应的目标恶意检测规则对获取到的待检测文件进行恶意检测；

所述检测顺序确定模块用于执行以下步骤：

步骤S100、根据每一所述恶意样本向量，确定对应的所述目标恶意检测规则对所述待检测文件的检测顺序；

步骤S200、根据所述检测顺序，确定所述待检测文件对应的检测队列标识集A=(A₁,A₂,...,A_i,...,A_n)；其中，i=1,2,...,n；A_i为检测顺序在第i位的检测队列对应的检测队列标识；

步骤S300、根据检测队列标识集A，将所述待检测文件依次发送到至少部分检测队列中；

其中，所述步骤S100包括：

步骤S110、根据目标json文件对应的若干目标指令信息类型，确定所述目标json文件对应的目标指令向量；所述目标json文件通过对所述待检测文件进行解析得到；

步骤S120、根据所述目标指令向量与若干所述恶意样本向量的匹配度，确定若干目标恶意检测规则对所述待检测文件的检测顺序；

其中，所述步骤S300包括：

步骤S310、获取i=1；

步骤S320、确定A_i对应的检测队列是否为空；若为空，则将所述待检测文件发送至A_i对应的检测队列中，并执行步骤S330；否则，根据预设更新规则对i进行更新处理；

步骤S330、在接收到A_i对应的检测进程返回的检测结果为第一结果时，获取i=i+1，并执行步骤S320；其中，第一结果表征所述待检测文件为非恶意文件。

2.根据权利要求1所述的一种多进程检测系统，其特征在于，在所述待检测文件被发送至A_i对应的检测队列中后，仅在接收到A_i对应的检测进程返回的检测结果为第一结果时，将所述待检测文件发送至A_i+1对应的检测队列中。

3.根据权利要求2所述的一种多进程检测系统，其特征在于，若A_i对应的检测进程返回的检测结果为第二结果时，则结束对所述待检测文件的恶意检测；其中，第二结果表征所述待检测文件为恶意文件。

4.根据权利要求1所述的一种多进程检测系统，其特征在于，所述根据预设更新规则对i进行更新处理，包括：

步骤S321、获取A_i对应的检测队列中每一历史待检测文件的文件大小L_i1,L_i2,...,L_ij,...,L_if(i)；其中，j=1,2,...,f(i)；f(i)为A_i对应的检测队列中的历史待检测文件的数量；L_ij为A_i对应的检测队列中第j个历史待检测文件的文件大小；

步骤S322、获取A_i对应的目标恶意检测规则的目标检测效率P_i；

步骤S323、确定A_i对应的检测队列的目标等待时长；

步骤S324、若M_i＜M₀，则将所述待检测文件发送至A_i对应的检测队列中，并执行步骤S330；其中，M₀为预设等待时长阈值。

5.根据权利要求4所述的一种多进程检测系统，其特征在于，所述步骤S324还包括：

若M_i≥M₀，则执行步骤S340；

步骤S340、获取r=1；

步骤S341、获取A_i+r对应的检测队列中每一历史待检测文件的文件大小K_(i+r)1,K_(i+r)2,...,K_(i+r)e,...,K_(i+r)f(i+r)；其中，e=1,2,...,f(i+r)；f(i+r)为A_i+r对应的检测队列中的历史待检测文件的数量；K_(i+r)e为A_i+r对应的检测队列中第e个历史待检测文件的文件大小；

步骤S342、获取A_i+r对应的目标恶意检测规则的目标检测效率P_i+r；

步骤S343、确定A_i+r对应的检测队列的目标等待时长；其中，T₀为所述待检测文件的检测时长；

步骤S344、若M_i+r＜M_i，则将所述待检测文件发送至A_i+r对应的检测队列中，并执行步骤S345；

步骤S345、将A_i+r从检测队列标识集A中删除，并执行步骤S346；

步骤S346、在接收到A_i+r对应的检测进程返回的检测结果为第一结果时，执行步骤S320。

6.根据权利要求5所述的一种多进程检测系统，其特征在于，所述步骤S344还包括：

若M_i+r≥M_i，则获取r=r+1，并执行步骤S341。

7.根据权利要求1所述的一种多进程检测系统，其特征在于，所述检测进程在接收到所述待检测文件时执行以下步骤：

步骤S400、获取所述待检测文件对应的IDB文件；

步骤S410、对所述IDB文件进行解析，得到目标json文件；所述目标json文件中包含所述待检测文件中的若干PE文件信息；所述PE文件信息包含目标指令信息和所述目标指令信息对应的目标相对存储地址字段；每一所述目标指令信息具有对应的目标指令信息类型；

步骤S420、从所述目标json文件中的若干PE文件信息内确定出若干目标指令信息，以得到目标指令信息列表；所述目标指令信息列表中的目标指令信息根据对应的目标相对存储地址的先后顺序排列；

步骤S430、根据对应的目标恶意检测规则对所述目标指令信息列表进行恶意检测，得到并返回所述待检测文件对应的检测结果。

8.根据权利要求1所述的一种多进程检测系统，其特征在于，所述目标指令向量通过以下步骤确定：

步骤S111、根据h个第一指令信息类型，得到第一初始特征向量E=(E₁,E₂,...,E_a,...,E_h)；其中，a=1,2,...,h；E_a为E中第a个第一指令信息类型对应的特征信息；E_a的初始值为NULL；

步骤S112、遍历第一初始特征向量E，若所述目标json文件中包含E_a对应的第一指令信息类型的目标指令信息，则将E_a确定为1；否则，将E_a确定为0；

步骤S113、将赋值后的第一初始特征向量E确定为所述目标json文件对应的目标指令向量。

9.一种非瞬时性计算机可读存储介质，所述存储介质中存储有至少一条指令或至少一段程序，其特征在于，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如权利要求1-8中任意一项所述多进程检测系统执行的步骤。

10.一种电子设备，其特征在于，包括处理器和权利要求9中所述的非瞬时性计算机可读存储介质。