WO2012022251A1 - 一种依据白名单进行恶意程序检测的方法 - Google Patents

一种依据白名单进行恶意程序检测的方法 Download PDF

Info

Publication number
WO2012022251A1
WO2012022251A1 PCT/CN2011/078458 CN2011078458W WO2012022251A1 WO 2012022251 A1 WO2012022251 A1 WO 2012022251A1 CN 2011078458 W CN2011078458 W CN 2011078458W WO 2012022251 A1 WO2012022251 A1 WO 2012022251A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
behavior
features
detected
client
Prior art date
Application number
PCT/CN2011/078458
Other languages
English (en)
French (fr)
Inventor
周鸿祎
齐向东
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US13/817,563 priority Critical patent/US9047466B2/en
Publication of WO2012022251A1 publication Critical patent/WO2012022251A1/zh
Priority to US14/674,552 priority patent/US9715588B2/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the invention belongs to the field of network security, and in particular relates to a method for malicious program detection based on a white list. Background technique
  • the traditional malware killing mainly depends on the feature library mode.
  • the feature library is composed of the signatures of the malicious program samples collected by the manufacturer, and the signature code is the difference between the analysis engineer and the legitimate software found in the malicious program, and intercepts a program code similar to the "search keyword".
  • the engine reads the file and matches all the signatures "keywords" in the signature database. If the file program code is found to be hit, it can be determined that the file program is a malicious program.
  • Heuristic code scanning technology is actually the embodiment of porting this experience and knowledge to a specific program that kills virus software.
  • the above methods for killing malware are based on malicious behavior and/or malicious features, first determining whether a program is a malicious program, and then deciding whether to perform killing or cleaning. This inevitably leads to the following drawbacks.
  • the number of malicious programs in the world is growing geometrically. Based on this explosive growth rate, the generation and update of signature libraries are often lagging. The signature of malicious programs in the signature database cannot keep up with the unknown malicious. program.
  • the technical problem to be solved by the present invention is to provide a method for malicious program detection based on a white list, which does not depend on a local database, and which determines a malicious program in reverse based on the identification of a legitimate program.
  • the present invention discloses a method for detecting a malicious program according to a white list, which includes: receiving, by a server, a program feature and/or a program of a to-be-detected program sent by a client
  • the legality information of the unknown program is fed back to the client.
  • the program to be detected is determined to be a legal program, and is fed back to the Determining the client; if there is no hit, determining that the to-be-detected program is a malicious program, and feeding back to the client.
  • the obtaining the legality information of the unknown program according to the comparison result and feeding back to the client includes: according to a set of program features and/or a set of program behaviors of the program to be detected, and degree, The to-be-detected program is given a trust value, and the trust value is fed back to the client; so that the client determines whether the to-be-detected program is a malicious program according to the trust value and the preset threshold.
  • the program is given a minimum trust value.
  • the method further includes: the client determines to block the malicious program behavior according to the determination result. Truncating, terminating the execution of the malicious program and/or cleaning up the malicious program to restore the system environment.
  • the method further includes: determining, by the client according to the determination result and combining the attributes of the to-be-detected program, whether to intercept the behavior of the to-be-detected program, terminate execution of the to-be-detected program, and/or clear the to-be-detected program.
  • the attribute includes: whether the to-be-detected program is a self-starting program and/or whether the to-be-detected program exists in a system directory. Sequence behavior, analyzing unknown program features and their corresponding program behaviors to update the whitelist.
  • the analyzing the unknown program feature and its corresponding program behavior includes: if the unknown program feature is the same as the known program feature in the existing whitelist, the unknown program feature and its corresponding program behavior column Whitelist; or, if the unknown program behavior is the same or similar to the known program behavior in the existing whitelist, the unknown program behavior and its corresponding program characteristics are whitelisted.
  • the analyzing the unknown program features and the corresponding program behaviors includes: based on the programs in the database, according to the similarity between the program behaviors of the respective programs, and the correspondence between the program behaviors and the program features, The relationship between program behavior and program behavior, program behavior and program characteristics is established, and the unknown program features and their corresponding program behaviors are analyzed. For, and the associated relationship, analyzing the unknown program features and their corresponding program behaviors, including: When a program behavior is whitelisted, the program features corresponding to the program behavior are whitelisted in the database.
  • program features include: static features and/or static feature strings in the program file.
  • the present invention determines a legitimate program by using a white list, thereby not belonging to the whitelist category.
  • the non-legal program is judged as a malicious program, and the malicious program is judged and killed from another angle.
  • the cloud security architecture is introduced, and all the “cloud security” clients are connected with the "cloud security” server in real time, and the judgment analysis of the legitimate program is put Completed on the server side;
  • the invention also collects program behaviors and correlates to program features through the client, thereby recording program characteristics and corresponding program behaviors in the database, and according to the collected relationship between the program behavior and the program features, the sample can be sampled in the database. Analyze and summarize to help legally identify software or programs.
  • Figure 1 is a schematic view showing an embodiment mode of the present invention
  • FIG. 2 is a flow chart of a method for performing malicious program detection according to a white list of the present invention
  • FIG. 3 is a schematic diagram of an association relationship according to an embodiment of the present invention. detailed description
  • the core idea of the present invention is that the server-side database establishes a white list of legitimate programs and collects and updates; the client collects the program features and/or program behaviors of a program and sends them to the service line for analysis and comparison, according to the comparison result. The program makes a decision and feeds back to the client.
  • the whitelist detection malicious program method in the cloud security mode composed of a large number of client computers 102-servers 104 will be described below.
  • the cloud structure is a large client/server (CS) architecture, as shown in FIG. 1, which is a schematic diagram of an implementation mode of the present invention.
  • FIG. 2 is a flowchart of a method for detecting a malicious program according to a whitelist according to the present invention, including: 51, the server-side database establishes a white list of legitimate programs and collects and updates;
  • the client collects the program features and/or program behaviors of a program (referred to as a "to-be-detected program" for convenience of distinction) and sends the query to the server for query; comparison, according to the comparison result The program determines and feeds back to the client;
  • the client determines, according to the determination result, intercepting the malicious program behavior, terminating execution of the malicious program, and/or cleaning the malicious program, and restoring the system environment; or
  • the attribute includes: whether the malicious program is a self-starting program and/or whether the malicious program exists in a system directory.
  • step S3 it can be specifically implemented in the following manner.
  • the first mode the server side is a legal program according to the program feature and/or program behavior, and the program is returned to the client; if there is no hit, the program is determined to be a malicious program, and Feedback to the client. It can be seen that, in this mode, the server can determine whether the detection program is a malicious program, and then feed the determination result to the client, and the client can directly know whether the program to be detected is a malicious program according to the feedback result of the server.
  • the second mode the server end assigns a trust value to the program according to a set of program features and/or a set of program behaviors of the program, and feeds the trust value to the client;
  • the client presets a threshold, and compares the value with the threshold according to the trust value. If the trust value is not less than the threshold, determining that the program is a legal program, and if the trust value is less than the threshold, Then the program is determined to be a malicious program. It can be seen that in this way, the server does not judge the maliciousness of the program, but only gives a trust value, and feeds the trust value as legality information to the client, and the client receives the trust. After the value, you need to compare it with the preset threshold before you can determine whether the program to be detected is a malicious program.
  • the server end assigns a highest trust value to the program;
  • the group program feature and/or a group of program behaviors are all missed in the white list, and the server end assigns a minimum trust value to the program; the program between the two hit ratios is set according to the above trend. set.
  • the step of collecting and updating the whitelist of the legal program by the database of the server may be implemented in the following manner.
  • the program feature may be a static feature in a program file, such as an MD5 verification code calculated by MD5 (Message-Digest Algorithm 5), or a SHA1 code, or a CRC (Cyclic Redundancy Check).
  • MD5 Message-Digest Algorithm 5
  • SHA1 SHA1 code
  • CRC Cyclic Redundancy Check
  • the main idea is to analyze the unknown program features and program behavior according to the program features in the existing known whitelist and their corresponding program behaviors to update the whitelist.
  • This kind of comparative analysis sometimes does not require tracking analysis of the behavior of the program itself. It simply needs to be compared with the known program behavior in the existing whitelist to determine the nature of the unknown program. Since the program characteristics and the behavior record corresponding to the feature are recorded in the database, the unknown program can be analyzed in combination with the known whitelist.
  • an unknown program feature is the same as a known program feature in an existing whitelist, then the unknown program feature and its program behavior are whitelisted.
  • the unknown program behavior is the same or similar to the known program behavior in the existing whitelist, then the unknown program behavior and its program characteristics are whitelisted.
  • the program features are different. At this time, as long as we establish the relationship between behavior and features between programs with the same or similar behavior, and according to This kind of relationship makes it easier to analyze unknown program features and program behavior to update the whitelist.
  • FIG. 3 it is a schematic diagram of an association relationship according to an embodiment of the present invention. Assumed unknown program
  • A, B and C are A, B and C, respectively, and their corresponding program behaviors are Al ⁇ A4, Bl ⁇ B4, C1 ⁇ C4.
  • Al ⁇ A4, B1 ⁇ B4, C1 ⁇ C4 are substantially the same or very similar, then the characteristics A, B, C and behavior ⁇ 1 ⁇ ⁇ 4, ⁇ 1 ⁇ ⁇ 4, CI ⁇
  • the relationship between features and behaviors is established between C4.
  • the database can be maintained more quickly and self-expanding under certain conditions.
  • the program behaviors B1 to B4 of the program B are confirmed as legal program behaviors and are whitelisted
  • the program feature B corresponding to the program behavior can be automatically whitelisted in the database, and at the same time, according to the association relationship , program behaviors Al ⁇ A4, CI ⁇ C4 and corresponding program features A, and feature C, which are related to the program behavior, can also be automatically whitelisted.
  • the behaviors B1 to B4 can be automatically performed in the database.
  • the combination is whitelisted, and features A and C with the same or similar behavior can also be whitelisted according to the relationship, and the program behaviors Al ⁇ A4, CI ⁇ C4 are also whitelisted.
  • the present invention provides great convenience for the behavior analysis of unknown programs because the behavior corresponding to the program features is recorded in the database.
  • the above analysis method of the present invention is not limited thereto, and may be applied to the database of the present invention by using a method similar to a decision tree, a Bayesian algorithm, a neural network domain calculation, or a simple threshold analysis. .
  • the above description shows and describes several preferred embodiments of the present invention, but as described above, it should be understood that the invention is not limited to the forms disclosed herein, and should not be construed as Other combinations, modifications, and environments are possible and can be modified by the teachings or related art or knowledge within the scope of the inventive concept described herein. All changes and modifications made by those skilled in the art are intended to be within the scope of the appended claims.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Mining & Analysis (AREA)
  • Stored Programmes (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Description

一种依据白名单进行恶意程序检测的方法
本申请要求于 2010 年 8 月 18 日提交中国专利局、 申请号为 201010256973.3、 发明名称为"一种依据白名单进行恶意程序检测的方法 "的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明属于网络安全领域， 具体地说， 涉及一种依据白名单进行恶意程序 检测的方法。 背景技术
传统的恶意程序防杀主要依赖于特征库模式。特征库是由厂商收集到的恶 意程序样本的特征码组成，而特征码则是分析工程师从恶意程序中找到和正当 软件的不同之处， 截取一段类似于"搜索关键词 "的程序代码。 当查杀过程中， 引擎会读取文件并与特征库中的所有特征码 "关键词"进行匹配，如果发现文件 程序代码被命中， 就可以判定该文件程序为恶意程序。
之后又衍生出了在本地启发式杀毒的方式，是以特定方式实现的动态高度 器或反编译器，通过对有关指令序列的反编译逐步理解和确定其蕴藏的真正动 机。 恶意程序和正常程序的区别可以体现在许多方面， 比如： 通常一个应用程 序在最初的指令，是检查命令行输入有无参数项、清屏和保存原来屏幕显示等， 而恶意程序通常最初的指令则是直接写盘操作、解码指令， 或搜索某路径下的 可执行程序等相关操作指令序列。 这些显著的不同之处， 一个熟练的程序员在 调试状态下只需一瞥便可一目了然。启发式代码扫描技术实际上就是把这种经 验和知识移植到一个查杀病毒软件中的具体程序体现。 但是上述查杀恶意软件的方法都是基于恶意行为和 /或恶意特征， 先对一 个程序判定其是否为恶意程序， 然后再决定是否进行查杀或者清理。 这就不可 避免导致出现了如下弊端。 据统计， 现今全球恶意程序数量呈几何级增长， 基于这种爆发式的增速， 特征库的生成与更新往往是滞后的，特征库中恶意程序的特征码的补充跟不上 层出不穷的未知恶意程序。 另外， 近年来， 随着恶意程序制作者对免杀技术的应用， 通过对恶意程序 加壳或修改该恶意程序的特征码的手法越来越多的出现；以及许多木马程序采 用了更多更频繁快速的自动变形， 这些都导致通过恶意行为和 /或恶意特征对 恶意程序进行判定的难度越来越大， 从而引起对恶意程序的查杀或清理的困 难。 发明内容
有鉴于此，本发明所要解决的技术问题是提供了一种依据白名单进行恶意 程序检测的方法， 不依赖于本地数据库， 并且基于对合法程序的认定来反向判 定恶意程序。
为了解决上述技术问题，本发明公开了一种依据白名单进行恶意程序检测 的方法， 包括： 服务器端接收客户端发送的一待检测程序的程序特征和 /或程
未知程序的合法性信息并反馈给所述客户端。
进一步地，所述根据比对结果获取所述未知程序的合法性信息并反馈给所 单中保存的合法程序特征和 /或合法程序， 则判定所述待检测程序为合法程序， 并反馈给所述客户端； 如果没有命中， 则判定所述待检测程序为恶意程序， 并 反馈给所述客户端。
进一步地，所述根据比对结果获取所述未知程序的合法性信息并反馈给所 述客户端包括： 根据所述待检测程序的一组程序特征和 /或一组程序行为， 与 程度， 对所述待检测程序赋予一信任值， 并将所述信任值反馈给所述客户端； 以便所述客户端根据的信任值以及预置的阈值判定所述待检测程序是否为恶 意程序。
进一步地， 如果所述一组程序特征和 /或一组程序行为在所述白名单中全 部命中， 则对所述程序赋予一最高信任值； 如果所述一组程序特征和 /或一组 程序行为在所述白名单中全部未命中， 则对所述程序赋予一最低信任值。
进一步地，还包括： 所述客户端根据判定结果决定对恶意程序行为进行拦 截、 终止执行该恶意程序和 /或清理该恶意程序， 恢复系统环境。
进一步地，还包括： 所述客户端根据判定结果并结合所述待检测程序的属 性， 决定是否对该待检测程序行为进行拦截、 终止执行该待检测程序和 /或清 理该待检测程序。
进一步地， 所述属性， 包括： 所述待检测程序是否为自启动程序和 /或所 述待检测程序是否存在于系统目录内。 序行为， 对未知程序特征及其对应的程序行为进行分析， 以更新所述白名单。
进一步地， 所述对未知程序特征及其对应的程序行为进行分析， 包括： 如 果未知程序特征与现有白名单中的已知程序特征相同，则将该未知程序特征及 其对应的程序行为列入白名单； 或者， 如果未知程序行为与现有白名单中的 已知程序行为相同或近似，则将该未知程序行为及其对应的程序特征列入白名 单。
进一步地， 所述对未知程序特征及其对应的程序行为进行分析， 包括： 基 于数据库中的程序，根据各个程序的程序行为之间的相似性， 以及程序行为与 程序特征之间的对应关系， 建立程序行为与程序行为、程序行为与程序特征的 所述关联关系， 对未知程序特征及其对应的程序行为进行分析。 为，以及所述关联关系，对未知程序特征及其对应的程序行为进行分析， 包括： 当某程序行为被列入白名单时，在数据库中将该程序行为对应的程序特征列入 白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入白名 单； 或者， 当某程序特征被列入白名单时， 在数据库中将该程序特征对应的程 序行为列入白名单，并将与该程序特征有关联关系的其他程序行为和程序特征 也列入白名单。
进一步地， 所述程序特征， 包括： 程序文件内的静态特征和 /或静态特征 串。 与现有的方案相比， 本发明所获得的技术效果：
本发明通过使用白名单对合法程序进行判定，从而将不属于白名单范畴的 非合法程序判定为恶意程序， 从另一角度进行恶意程序的判定查杀； 同时引入云安全架构， 将所有 "云安全"客户端与 "云安全"服务器实时 连接， 将合法程序的判定分析放在服务器端完成；
另外， 本发明还通过客户端收集程序行为并关联到程序特征，从而在数据 库中记录程序特征及其对应的程序行为，根据收集到的程序行为和程序特征的 关联关系， 可以在数据库中对样本进行分析归纳，从而有助于对软件或程序进 行合法判别。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付 出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明的实施模式示意图；
图 2本发明的依据白名单进行恶意程序检测的方法流程图；
图 3为根据本发明实施例所述的关联关系示意图。 具体实施方式
以下将配合图式及实施例来佯细说明本发明的实施方式，藉此对本发明如 何应用技术手段来解决技术问题并达成技术功效的实现过程能充分理解并据 以实施。
本发明的核心构思在于：服务器端的数据库建立合法程序的白名单并进行 收集更新； 客户端对一程序的程序特征和 /或程序行为进行收集并发送到服务 行分析比对， 根据比对结果对所述程序进行判定并反馈给所述客户端。 下面对于由大量客户端计算机 102-服务器端 104构成的云安全模式下的 白名单检测恶意程序方法进行说明。 云结构就是一个大型的客户端 /服务器 ( CS ) 架构， 如图 1所示， 为本发明的实施模式示意图。
参考图 2为本发明的依据白名单进行恶意程序检测的方法流程图， 包括： 51 , 服务器端的数据库建立合法程序的白名单并进行收集更新；
52, 客户端对一程序（为了便于区分， 将该程序称为 "待检测程序" ）的 程序特征和 /或程序行为进行收集并发送到服务器端进行查询； 比对， 根据比对结果对所述程序进行判定并反馈给所述客户端；
S4,所述客户端根据所述判定结果决定对恶意程序行为进行拦截、终止执 行该恶意程序和 /或清理该恶意程序， 恢复系统环境； 或者
所述客户端根据所述判定结果并结合所述恶意程序的属性，决定是否对该 恶意程序行为进行拦截、 终止执行该恶意程序和 /或清理该恶意程序；
所述属性， 包括： 所述恶意程序是否为自启动程序和 /或所述恶意程序是 否存在于系统目录内。 对于步骤 S3 , 可以具体由以下方式实现。
第一方式： 所述服务器端根据所述程序特征和 /或程序行为， 与所述白名 述程序为合法程序， 并反馈给所述客户端； 如果没有命中， 则判定所述程序为 恶意程序， 并反馈给所述客户端。 可见， 在该方式中， 服务器端之间可以对待 检测程序是否为恶意程序进行判定， 然后将判定结果反馈给客户端，客户端直 接根据服务器端的反馈结果即可获知待检测程序是否为恶意程序。
第二方式： 所述服务器端根据程序的一组程序特征和 /或一组程序行为， 的程度， 对所述程序赋予一信任值， 并将所述信任值反馈给所述客户端； 所述 客户端预设一阈值，根据所述信任值与所述阈值进行比对，如果所述信任值不 小于所述阈值， 则判定所述程序为合法程序， 如果所述信任值小于所述阈值， 则判定所述程序为恶意程序。 可见， 在这种方式下， 服务器端并不对程序的恶 意与否进行判定， 而是仅仅给出一个信任值， 并将该信任值作为合法性信息反 馈给客户端，客户端在接收到该信任值之后，需要自行与预设的阈值进行比对， 之后才能判定待检测程序是否为恶意程序。
对于信任值的设定， 如果所述一组程序特征和 /或一组程序行为在所述白 名单中全部命中， 则所述服务器端对所述程序赋予一最高信任值； 如果所述一 组程序特征和 /或一组程序行为在所述白名单中全部未命中， 则所述服务器端 对所述程序赋予一最低信任值；处于上述两命中率之间的程序按所述上述趋势 设定。 对于步骤 S1 , 所述服务器端的数据库对合法程序的白名单进行收集更新 的步骤， 可以由以下方式实现。
第一方式： 由技术人员周期性通过手工、 利用蜘蛛或网络爬虫和 /或用户 上传对合法程序进行收集；通过手工或通过工具自动甄别所述合法程序的程序 特征和或程序行为并保存在所述白名单中。
第二方式： 根据现有已知白名单中的合法程序特征及其对应的程序行为， 对未知程序特征及程序行为进行分析， 以更新白名单。 所述程序特征， 可以是程序文件内的静态特征， 如经由 MD5 ( Message-Digest Algorithm 5 , 信息-摘要算法 )运算得出的 MD5验证码， 或 SHA1码， 或 CRC ( Cyclic Redundancy Check, 循环冗余校验）码等可唯一 标识原程序的特征码； 也可以是程序文件内的静态特征串。 下面对于第二方式中服务器端的数据库白名单的构建及动态维护进行下 说明。
其处理思路主要是：根据现有已知白名单中的程序特征及其对应的程序行 为， 对未知程序特征及程序行为进行分析， 以更新白名单。 这种对比分析有时 候不需要对程序的行为本身做追踪分析，只需要简单的与现有白名单中的已知 程序行为做比对即可判定未知程序的性质。 由于在数据库中记录了程序特征及该特征对应的行为记录，因此可以结合 已知白名单对未知程序进行分析。
例如，如果未知程序特征与现有白名单中的已知程序特征相同， 则将该未 知程序特征及其程序行为都列入白名单。
如果未知程序行为与现有白名单中的已知程序行为相同或近似 ,则将该未 知程序行为及其程序特征都列入白名单。 通过数据库中的记录分析，我们可以发现，有一些程序的行为相同或近似 , 但程序特征不同， 这时， 只要我们在具有相同或近似行为的程序之间建立行为 与特征的关联关系， 并根据这种关联关系， 就可以更便捷的对未知程序特征及 程序行为进行分析， 以更新白名单。
如图 3所示， 为根据本发明实施例所述的关联关系示意图。假设未知程序
A、 B和 C的特征分别为 A、 B和 C,其各自对应的程序行为为 Al ~ A4, Bl ~ B4, C1 ~ C4。 ^口果经过分析发现程序行为 Al ~ A4, B1 ~ B4, C1 ~ C4之间实 质上相同或非常近似， 那么就可以在特征 A、 B、 C和行为 Α1 ~ Α4, Β1 ~ Β4, CI ~ C4之间建立特征与行为的关联关系。
通过这种关联关系，在某些条件下可以更加快捷的自扩展的对数据库进行 维护。例如， 当程序 B的程序行为 Bl ~ B4被确认为合法程序行为并被列入白 名单时， 可以在数据库中自动将与该程序行为对应的程序特征 B列入白名单， 同时， 根据关联关系， 可以自动将与该程序行为有关联关系的程序行为 Al ~ A4, CI ~ C4及对应的程序特征 A, 特征 C也列入白名单。
再例如， 如果最初时程序 、 B和 C都属于黑白未知的程序， 而经由其他 病毒查杀途径， 程序特征 B 首先被确认为属于合法程序的特征， 则在数据库 中可以自动将行为 Bl ~ B4的组合列入白名单， 还可以根据关联关系， 将具有 相同或近似行为的特征 A和 C也列入白名单， 并将程序行为 Al ~ A4, CI ~ C4也列入白名单。
本发明由于在数据库中记录了程序特征对应的行为，这就使得对未知程序 的行为分析提供了很大的便利。本发明上述分析方法不限于此，还可以利用类 似于决策树， 贝叶斯算法， 神经网域计算等方法， 或者使用简单的阈值分析， 都可以在本发明的数据库基础上得到很好的应用。 上述说明示出并描述了本发明的若干优选实施例，但如前所述，应当理解 本发明并非局限于本文所披露的形式， 不应看作是对其他实施例的排除， 而可 用于各种其他组合、 修改和环境， 并能够在本文所述发明构想范围内， 通过上 述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化 不脱离本发明的精神和范围， 则都应在本发明所附权利要求的保护范围内。

Claims

权 利 要 求
1、 一种依据白名单进行恶意程序检测的方法， 其特征在于， 包括: 服务器端接收客户端发送的一待检测程序的程序特征和 /或程序行为；
Figure imgf000010_0001
根据比对结果获取所述未知程序的合法性信息并反馈给所述客户端。
2、 如权利要求 1所述的方法， 其特征在于， 所述根据比对结果获取所述 未知程序的合法性信息并反馈给所述客户端包括：如果所述待检测程序的程序 判定所述待检测程序为合法程序， 并反馈给所述客户端； 如果没有命中， 则判 定所述待检测程序为恶意程序， 并反馈给所述客户端。
3、 如权利要求 1所述的方法， 其特征在于， 所述根据比对结果获取所述 未知程序的合法性信息并反馈给所述客户端包括：根据所述待检测程序的一组 程序特征和 /或一组程序行为， 与所述白名单中保存的合法程序特征和 /或合法 程序行为进行比对， 根据命中的程度， 对所述待检测程序赋予一信任值， 并将 所述信任值反馈给所述客户端；以便所述客户端根据的信任值以及预置的阈值 判定所述待检测程序是否为恶意程序。
4、 如权利要求 3 所述的方法， 其特征在于， 如果所述一组程序特征和 / 或一组程序行为在所述白名单中全部命中， 则对所述程序赋予一最高信任值； 如果所述一组程序特征和 /或一组程序行为在所述白名单中全部未命中， 则对 所述程序赋予一最低信任值。
5、 如权利要求 2至 4任一项所述的方法， 其特征在于， 还包括： 所述客 户端根据判定结果决定对恶意程序行为进行拦截、 终止执行该恶意程序和 /或 清理该恶意程序， 恢复系统环境。
6、 如权利要求 2至 4任一项所述的方法， 其特征在于， 还包括： 所述客 户端根据判定结果并结合所述待检测程序的属性，决定是否对该待检测程序行 为进行拦截、 终止执行该待检测程序和 /或清理该待检测程序。
7、 如权利要求 6所述的方法， 其特征在于， 所述属性， 包括： 所述待检 测程序是否为自启动程序和 /或所述待检测程序是否存在于系统目录内。
8、 如权利要求 1至 4任一项所述的方法， 其特征在于， 还包括： 特征及其对应的程序行为进行分析， 以更新所述白名单。
9、 如权利要求 8所述的方法， 其特征在于， 所述对未知程序特征及其对 应的程序行为进行分析， 包括：
如果未知程序特征与现有白名单中的已知程序特征相同 ,则将该未知程序 特征及其对应的程序行为列入白名单；
或者，
如果未知程序行为与现有白名单中的已知程序行为相同或近似 ,则将该未 知程序行为及其对应的程序特征列入白名单。
10、 如权利要求 8所述的方法， 其特征在于， 所述对未知程序特征及其对 应的程序行为进行分析， 包括：
基于数据库中的程序，根据各个程序的程序行为之间的相似性， 以及程序 行为与程序特征之间的对应关系， 建立程序行为与程序行为、程序行为与程序 特征的关联关系； 联关系， 对未知程序特征及其对应的程序行为进行分析。
11、 如权利要求 10所述的方法， 其特征在于， 所述根据所述白名单中已 有的合法程序特征及其对应的程序行为， 以及所述关联关系，对未知程序特征 及其对应的程序行为进行分析， 包括：
当某程序行为被列入白名单时 ,在数据库中将该程序行为对应的程序特征 列入白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入 白名单；
或者，
当某程序特征被列入白名单时，在数据库中将该程序特征对应的程序行为 列入白名单，并将与该程序特征有关联关系的其他程序行为和程序特征也列入 白名单。
12、 如权利要求 1至 4任一项所述的方法， 其特征在于， 所述程序特征, 包括： 程序文件内的静态特征和 /或静态特征串。
PCT/CN2011/078458 2010-08-18 2011-08-16 一种依据白名单进行恶意程序检测的方法 WO2012022251A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/817,563 US9047466B2 (en) 2010-08-18 2011-08-16 Method of detecting a malware based on a white list
US14/674,552 US9715588B2 (en) 2010-08-18 2015-03-31 Method of detecting a malware based on a white list

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010256973.3 2010-08-18
CN2010102569733A CN101924761B (zh) 2010-08-18 2010-08-18 一种依据白名单进行恶意程序检测的方法

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US13/817,563 A-371-Of-International US9047466B2 (en) 2010-08-18 2011-08-16 Method of detecting a malware based on a white list
US14/674,552 Continuation US9715588B2 (en) 2010-08-18 2015-03-31 Method of detecting a malware based on a white list

Publications (1)

Publication Number Publication Date
WO2012022251A1 true WO2012022251A1 (zh) 2012-02-23

Family

ID=43339405

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/078458 WO2012022251A1 (zh) 2010-08-18 2011-08-16 一种依据白名单进行恶意程序检测的方法

Country Status (3)

Country Link
US (2) US9047466B2 (zh)
CN (1) CN101924761B (zh)
WO (1) WO2012022251A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112347479A (zh) * 2020-10-21 2021-02-09 北京天融信网络安全技术有限公司 恶意软件检测的误报纠正方法、装置、设备和存储介质
CN114697397A (zh) * 2022-02-24 2022-07-01 阿里巴巴（中国）有限公司 一种域名访问方法、装置、电子设备及计算机存储介质
CN114697397B (zh) * 2022-02-24 2024-06-07 阿里巴巴（中国）有限公司 一种域名访问方法、装置、电子设备及计算机存储介质

Families Citing this family (83)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101924761B (zh) * 2010-08-18 2013-11-06 北京奇虎科技有限公司 一种依据白名单进行恶意程序检测的方法
CN102222199B (zh) * 2011-06-03 2013-05-08 奇智软件（北京）有限公司 应用程序身份识别方法及系统
US9262624B2 (en) * 2011-09-16 2016-02-16 Mcafee, Inc. Device-tailored whitelists
CN103020051B (zh) * 2011-09-20 2016-06-22 北京奇虎科技有限公司 一种插入设备的数据转移方法
CN103019751A (zh) * 2011-09-20 2013-04-03 奇智软件（北京）有限公司 一种插入设备匹配及维护方法
US8839429B2 (en) * 2011-11-07 2014-09-16 Qualcomm Incorporated Methods, devices, and systems for detecting return-oriented programming exploits
CN103136476A (zh) * 2011-12-01 2013-06-05 深圳市证通电子股份有限公司 移动智能终端恶意软件分析系统
CN102521101B (zh) * 2011-12-08 2015-05-13 曙光信息产业(北京)有限公司 一种基于进程扫描的非法作业监控方法
CN103259806B (zh) * 2012-02-15 2016-08-31 深圳市证通电子股份有限公司 Android智能终端应用程序安全检测的方法及系统
CN103365882A (zh) * 2012-03-30 2013-10-23 网秦无限（北京）科技有限公司 一种移动终端上垃圾文件清理的方法和系统
CN103369003A (zh) * 2012-03-30 2013-10-23 网秦无限（北京）科技有限公司 一种利用云计算扫描移动设备的冗余文件的方法和系统
CN103425926B (zh) * 2012-05-14 2016-02-24 腾讯科技（深圳）有限公司 应用程序启动方法、配置列表的方法、终端和服务器
CN102752290B (zh) * 2012-06-13 2016-06-01 深圳市腾讯计算机系统有限公司 一种云安全系统中的未知文件安全信息确定方法和装置
CN102831338B (zh) * 2012-06-28 2015-09-30 北京奇虎科技有限公司 一种Android应用程序的安全检测方法及系统
CN102841672B (zh) * 2012-07-10 2016-03-16 上海果壳电子有限公司 一种休眠拦截方法及系统
CN102737203B (zh) * 2012-07-13 2015-10-21 珠海市君天电子科技有限公司 一种基于程序父子基因关系的病毒防御方法及系统
CN102902918B (zh) * 2012-08-06 2015-08-19 杭州创聚科技有限公司 一种基于复合特征码的恶意文件检测方法
CN102867038A (zh) * 2012-08-30 2013-01-09 北京奇虎科技有限公司 文件类型的确定方法和装置
CN105160244B (zh) * 2012-09-19 2019-02-22 北京奇安信科技有限公司 一种文件处理方法和系统
CN102902915B (zh) * 2012-09-29 2016-06-29 北京奇虎科技有限公司 对文件行为特征进行检测的系统
CN102902924B (zh) * 2012-09-29 2016-04-13 北京奇虎科技有限公司 对文件行为特征进行检测的方法及装置
CN102891854B (zh) * 2012-10-15 2015-08-26 广州亦云信息技术有限公司 一种云端服务器安全控制方法
CN102915359B (zh) * 2012-10-16 2016-08-10 北京奇虎科技有限公司 文件管理方法和装置
CN102945349B (zh) * 2012-10-19 2016-06-22 北京奇虎科技有限公司 未知文件处理方法与装置
CN102930202A (zh) * 2012-11-05 2013-02-13 曙光信息产业(北京)有限公司 在Linux系统中执行操作的方法
CN103023882B (zh) * 2012-11-26 2015-09-16 北京奇虎科技有限公司 用于判断数据安全性的方法及系统
CN103023885B (zh) * 2012-11-26 2015-09-16 北京奇虎科技有限公司 安全数据处理方法及系统
CN103023886B (zh) * 2012-11-26 2015-11-25 北京奇虎科技有限公司 安全数据处理方法及系统
CN103023884B (zh) * 2012-11-26 2015-09-16 北京奇虎科技有限公司 安全数据处理方法及系统
CN103023888B (zh) * 2012-11-26 2015-09-30 北京奇虎科技有限公司 数据监控方法及系统
WO2014082599A1 (zh) * 2012-11-30 2014-06-05 北京奇虎科技有限公司 用于恶意程序查杀的扫描设备、云端管理设备及方法和系统
CN103034808B (zh) * 2012-11-30 2015-10-14 北京奇虎科技有限公司 扫描方法、设备和系统以及云端管理方法和设备
CN103093148A (zh) * 2012-12-28 2013-05-08 广东欧珀移动通信有限公司 一种恶意广告的检测方法、系统及设备
CN103150511B (zh) * 2013-03-18 2016-12-28 珠海市君天电子科技有限公司 一种安全防护系统
CN104066090B (zh) * 2013-03-21 2018-12-14 联想(北京)有限公司 一种信息处理方法及电子设备
CN103198253B (zh) * 2013-03-29 2016-03-30 北京奇虎科技有限公司 运行文件的方法及系统
CN103309937A (zh) * 2013-04-19 2013-09-18 无锡成电科大科技发展有限公司 一种云平台内容监管的方法
CN103365963B (zh) * 2013-06-20 2016-06-01 广州赛姆科技资讯有限公司 数据库稽核系统合规性快速检验方法
CN103679003A (zh) * 2013-06-25 2014-03-26 厦门密安信息技术有限责任公司 终端可信软件的度量和认证
CN103412793A (zh) * 2013-07-29 2013-11-27 北京奇虎科技有限公司 一种优化系统资源的方法、装置及系统
CN103440145A (zh) * 2013-08-16 2013-12-11 广东欧珀移动通信有限公司 一种应用程序更新方法、装置及移动终端
CN103488947A (zh) * 2013-10-11 2014-01-01 北京金山网络科技有限公司 即时通信客户端盗号木马程序的识别方法及装置
CN103544035A (zh) * 2013-10-21 2014-01-29 北京奇虎科技有限公司 用于移动终端的应用清理方法及装置
CN103581185B (zh) * 2013-11-01 2016-12-07 北京奇虎科技有限公司 对抗免杀测试的云查杀方法、装置及系统
US9652362B2 (en) 2013-12-06 2017-05-16 Qualcomm Incorporated Methods and systems of using application-specific and application-type-specific models for the efficient classification of mobile device behaviors
CN103684872A (zh) * 2013-12-26 2014-03-26 深圳数字电视国家工程实验室股份有限公司 应用程序的管控方法及装置
CN103761478B (zh) * 2014-01-07 2016-11-23 北京奇虎科技有限公司 恶意文件的判断方法及设备
CN104978179B (zh) * 2014-04-22 2020-01-14 腾讯科技（深圳）有限公司 一种应用管理方法及装置
CN104021339A (zh) * 2014-06-10 2014-09-03 北京奇虎科技有限公司 移动终端的安全支付方法及装置
CN104134143B (zh) * 2014-07-15 2017-05-03 北京奇付通科技有限公司 移动支付安全的保护方法、装置及云服务器
CN105224574B (zh) * 2014-06-30 2019-02-19 北京金山安全软件有限公司 垃圾文件自动识别的方法和装置
KR101620931B1 (ko) * 2014-09-04 2016-05-13 한국전자통신연구원 악성코드 특징 정보 기반의 유사 악성코드 검색 장치 및 방법
CN104331414A (zh) * 2014-09-28 2015-02-04 北京云巢动脉科技有限公司 基于数据块的敏感数据过滤的方法和系统
US9954874B2 (en) * 2014-10-07 2018-04-24 Symantec Corporation Detection of mutated apps and usage thereof
CN105488404B (zh) * 2014-12-23 2019-01-15 哈尔滨安天科技股份有限公司 一种防止数据被后门窃取的方法及系统
CN105488385A (zh) * 2014-12-31 2016-04-13 哈尔滨安天科技股份有限公司 一种用于穿戴式智能设备的模拟监测方法与系统
US10043004B2 (en) * 2015-01-30 2018-08-07 Denim Group, Ltd. Method of correlating static and dynamic application security testing results for a web and mobile application
CN107409126B (zh) * 2015-02-24 2021-03-09 思科技术公司 用于保护企业计算环境安全的系统和方法
CN104765629B (zh) * 2015-03-24 2018-04-27 广东欧珀移动通信有限公司 一种系统应用的安装方法及装置
US10104107B2 (en) 2015-05-11 2018-10-16 Qualcomm Incorporated Methods and systems for behavior-specific actuation for real-time whitelisting
CN105094280A (zh) * 2015-07-07 2015-11-25 北京奇虎科技有限公司 一种提高智能终端待机性能的方法、装置和系统
CN105262739A (zh) * 2015-09-25 2016-01-20 上海斐讯数据通信技术有限公司 安全防御方法、终端、服务器及系统
RU2606559C1 (ru) 2015-10-22 2017-01-10 Акционерное общество "Лаборатория Касперского" Система и способ оптимизации антивирусной проверки файлов
US10210331B2 (en) * 2015-12-24 2019-02-19 Mcafee, Llc Executing full logical paths for malware detection
CN106936768B (zh) * 2015-12-29 2020-04-10 大唐高鸿信安（浙江）信息科技有限公司 基于可信芯片的白名单网络管控系统及方法
CN106934286B (zh) * 2015-12-31 2020-02-04 北京金山安全软件有限公司 一种安全诊断方法、装置及电子设备
CN105824664B (zh) * 2016-03-08 2019-03-12 Oppo广东移动通信有限公司 应用程序启动监控方法、装置以及终端设备
CN105871702B (zh) * 2016-05-31 2018-01-16 腾讯科技（深圳）有限公司 一种信息识别方法及服务器
CN106778331A (zh) * 2016-11-29 2017-05-31 广东电网有限责任公司信息中心 一种应用程序的监控方法、装置及系统
CN109214182B (zh) * 2017-07-03 2022-04-15 阿里巴巴集团控股有限公司 在云平台下虚拟机运行中对勒索软件的处理方法
US11487868B2 (en) * 2017-08-01 2022-11-01 Pc Matic, Inc. System, method, and apparatus for computer security
CN107729753A (zh) * 2017-09-22 2018-02-23 郑州云海信息技术有限公司 一种计算机未知病毒的防御方法及系统
CN109558731B (zh) * 2017-09-26 2022-04-08 腾讯科技（深圳）有限公司 特征码处理方法、装置及存储介质
CN110414226A (zh) * 2018-04-28 2019-11-05 北京安天网络安全技术有限公司 一种基于关键目标防护的安全维护方法及系统
GB2574209B (en) * 2018-05-30 2020-12-16 F Secure Corp Controlling Threats on a Computer System by Searching for Matching Events on other Endpoints
CN108989304A (zh) * 2018-07-05 2018-12-11 北京广成同泰科技有限公司 一种可信软件白名单构建方法
KR20200058147A (ko) 2018-11-19 2020-05-27 삼성전자주식회사 전자 장치 및 그의 제어 방법
CN109543764B (zh) * 2018-11-28 2023-06-16 安徽省公共气象服务中心 一种基于智能语义感知的预警信息合法性检测方法及检测系统
CN109815696A (zh) * 2018-12-29 2019-05-28 360企业安全技术(珠海)有限公司 终端设备系统防护方法及装置
CN110188543A (zh) * 2019-05-21 2019-08-30 北京威努特技术有限公司 白名单库、白名单程序库更新方法及工控系统
CN110955894B (zh) * 2019-11-22 2022-09-30 深信服科技股份有限公司 一种恶意内容检测方法、装置、电子设备及可读存储介质
TWI800135B (zh) * 2021-12-03 2023-04-21 財團法人工業技術研究院 建立應用程式白名單的方法及系統
CN114676421B (zh) * 2022-03-18 2022-12-27 山东鼎夏智能科技有限公司 一种对安全软件进行保护的方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101650768A (zh) * 2009-07-10 2010-02-17 深圳市永达电子股份有限公司 基于自动白名单的Windows终端安全保障方法与系统
CN101788915A (zh) * 2010-02-05 2010-07-28 北京工业大学 基于可信进程树的白名单更新方法
CN101924761A (zh) * 2010-08-18 2010-12-22 奇智软件（北京）有限公司 一种依据白名单进行恶意程序检测的方法
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6944772B2 (en) * 2001-12-26 2005-09-13 D'mitri Dozortsev System and method of enforcing executable code identity verification over the network
US10043008B2 (en) * 2004-10-29 2018-08-07 Microsoft Technology Licensing, Llc Efficient white listing of user-modifiable files
US8719924B1 (en) * 2005-03-04 2014-05-06 AVG Technologies N.V. Method and apparatus for detecting harmful software
US9055093B2 (en) * 2005-10-21 2015-06-09 Kevin R. Borders Method, system and computer program product for detecting at least one of security threats and undesirable computer files
US8266698B1 (en) * 2009-03-09 2012-09-11 Symantec Corporation Using machine infection characteristics for behavior-based detection of malware
US7640589B1 (en) * 2009-06-19 2009-12-29 Kaspersky Lab, Zao Detection and minimization of false positives in anti-malware processing
US8572740B2 (en) * 2009-10-01 2013-10-29 Kaspersky Lab, Zao Method and system for detection of previously unknown malware

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统
CN101650768A (zh) * 2009-07-10 2010-02-17 深圳市永达电子股份有限公司 基于自动白名单的Windows终端安全保障方法与系统
CN101788915A (zh) * 2010-02-05 2010-07-28 北京工业大学 基于可信进程树的白名单更新方法
CN101924761A (zh) * 2010-08-18 2010-12-22 奇智软件（北京）有限公司 一种依据白名单进行恶意程序检测的方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112347479A (zh) * 2020-10-21 2021-02-09 北京天融信网络安全技术有限公司 恶意软件检测的误报纠正方法、装置、设备和存储介质
CN114697397A (zh) * 2022-02-24 2022-07-01 阿里巴巴（中国）有限公司 一种域名访问方法、装置、电子设备及计算机存储介质
CN114697397B (zh) * 2022-02-24 2024-06-07 阿里巴巴（中国）有限公司 一种域名访问方法、装置、电子设备及计算机存储介质

Also Published As

Publication number Publication date
US20130185797A1 (en) 2013-07-18
US9047466B2 (en) 2015-06-02
CN101924761A (zh) 2010-12-22
US20150205960A1 (en) 2015-07-23
US9715588B2 (en) 2017-07-25
CN101924761B (zh) 2013-11-06

Similar Documents

Publication Publication Date Title
WO2012022251A1 (zh) 一种依据白名单进行恶意程序检测的方法
US10891378B2 (en) Automated malware signature generation
US9916447B2 (en) Active defense method on the basis of cloud security
US8667583B2 (en) Collecting and analyzing malware data
US9769188B2 (en) Method and product for providing a predictive security product and evaluating existing security products
US20190207969A1 (en) Anomaly-based malicious-behavior detection
US7774459B2 (en) Honey monkey network exploration
US10417420B2 (en) Malware detection and classification based on memory semantic analysis
WO2015081900A1 (zh) 基于云安全拦截广告程序的方法、装置和系统
Shabtai et al. F-sign: Automatic, function-based signature generation for malware
CN103607381B (zh) 白名单生成及恶意程序检测方法、客户端和服务器
US20170061126A1 (en) Process Launch, Monitoring and Execution Control
WO2016058403A1 (zh) 一种病毒文件的处理方法、系统及设备
KR20160039306A (ko) 클라우드 기술을 사용한 멀웨어에 대한 동적 클리닝
CN103475671B (zh) 恶意程序检测方法
JP5752642B2 (ja) 監視装置および監視方法
CN105791250B (zh) 应用程序检测方法及装置
JP6169497B2 (ja) 接続先情報判定装置、接続先情報判定方法、及びプログラム
CN103501294B (zh) 判断程序是否恶意的方法
CN115134106A (zh) 检测黑客攻击的方法及计算机程序产品
Luh et al. Behavior-based malware recognition
Yang et al. A Method for Acquiring Network Information from Linux Memory Image in Software-Defined Networking
Wang et al. Online analytical and detection model of familial malware based on communication features
Holz Exploring New Ways in Malware Detection
Kruegel et al. Alert Aggregation and Verification

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11817778

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13817563

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 11817778

Country of ref document: EP

Kind code of ref document: A1