[發明專利]一種樣本鑒定方法及系統

有效

• 申請號: 201110460477.4
• 申請日: 2011-12-31
• 公開（公告）號: CN102546628A
• 公開（公告）日: 2012-07-04
• 發明（設計）人: 李振博;馮鑫;謝冉
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市德權律師事務所 11302
• 代理人: 劉麗君

技術領域

本發明涉及計算機安全技術領域，特別是涉及一種樣本鑒定方法及系統。

背景技術

在互聯網時代，信息爆炸性增長，木馬、病毒也隨之爆發性的泛濫，如何快速反應，及時發現新的木馬和病毒，及早控制木馬、病毒的傳播是安全行業面臨的新的挑戰。

海量樣本實時鑒定技術，是基于服務器端強大的處理能力對海量的樣本進行收集并實時給出精準的鑒定結果的一種云鑒定技術。海量樣本實時鑒定系統主要包含四大部分：樣本收集，樣本鑒定，樣本存儲，鑒定結果發布。樣本收集指的是利用各種探測工具收集互聯網上最新出現的未被鑒定系統識別過的可執行文件；樣本存儲指的是妥善的存儲海量的樣本，并能做到數據的高可靠性、高可用性；樣本鑒定指的是靈活的組織調度各種各樣的鑒定服務快速的給出樣本的各種鑒定結果，并綜合這些鑒定結果最終確定該樣本的安全等級；鑒定結果發布指的是樣本鑒定結果快速發布到云引擎服務器，為客戶端提供鑒定結果查詢。這一實現方式，大大縮短了互聯網中新增樣本的識別時間，遠優于傳統殺軟利用病毒庫升級來識別新樣本的傳統模式，并且，其目標是做到實時鑒定，實時查殺。

但是在現有的海量樣本實時鑒定系統中還存在許多待改善提高的地方，例如，在對樣本進行鑒定時，在準確性、時效性、可擴展性以及靈活性等方面，都還存在上升的空間。

發明內容

本發明提供了一種樣本鑒定方法及系統，能夠提高海量樣本鑒定系統的準確性、時效性、可擴展性以及靈活性。

本發明提供了如下方案：

一種樣本鑒定方法，包括：

當客戶端發現待上傳樣本時，將所述待上傳樣本的標識信息發送到查詢服務器；所述查詢服務器中保存有已鑒定過的樣本對應的標識信息；

如果所述查詢服務器返回的查詢結果為該樣本尚未被鑒定過，則提取所述待上傳樣本的微特征，并所述微特征上傳到同步鑒定服務器進行同步鑒定；

如果所述同步鑒定服務器的同步鑒定結果為不確定，則將所述待上傳樣本上傳到多鑒定單元服務器，以便由所述多鑒定單元服務器通過多種鑒定策略對所述待上傳樣本進行鑒定，并返回鑒定結果。

其中，所述標識信息為所述待上傳樣本的MD5值。

其中，所述微特征包括類行為特征和/或結構特征。

其中，所述多鑒定單元服務器采用虛擬化技術，在多鑒定單元服務器的每臺機器上運行多個虛擬機，每個虛擬機中運行多個鑒定單元，以鑒定單元作為最小的調度單位。

其中，還包括：

監控每臺機器的資源占用情況，調用最空閑的機器啟動指定數量的鑒定單元對樣本進行鑒定。

其中，還包括：

監控各個鑒定單元的狀態、鑒定器的類型、鑒定器的版本號、鑒定器病毒庫大小以及升級時間，以便根據監控到的內容進行對鑒定器進行版本升級，或者對病毒庫進行及時更新。

一種樣本鑒定系統，包括：

查詢單元，用于當客戶端發現待上傳樣本時，將所述待上傳樣本的標識信息發送到查詢服務器；所述查詢服務器中保存有已鑒定過的樣本對應的標識信息；

同步鑒定單元，用于如果所述查詢服務器返回的查詢結果為該樣本尚未被鑒定過，則提取所述待上傳樣本的微特征，并所述微特征上傳到同步鑒定服務器進行同步鑒定；

綜合鑒定單元，用于如果所述同步鑒定服務器的同步鑒定結果為不確定，則將所述待上傳樣本上傳到多鑒定單元服務器，以便由所述多鑒定單元服務器通過多種鑒定策略對所述待上傳樣本進行鑒定，并返回鑒定結果。

其中，所述標識信息為所述待上傳樣本的MD5值。

其中，所述微特征包括類行為特征和/或結構特征。

其中，所述多鑒定單元服務器采用虛擬化技術，在多鑒定單元服務器的每臺機器上運行多個虛擬機，每個虛擬機中運行多個鑒定單元，以鑒定單元作為最小的調度單位。

其中，還包括：

第一監控單元，用于監控每臺機器的資源占用情況，調用最空閑的機器啟動指定數量的鑒定單元對樣本進行鑒定。

其中，還包括：

第二監控單元，用于監控各個鑒定單元的狀態、鑒定器的類型、鑒定器的版本號、鑒定器病毒庫大小以及升級時間，以便根據監控到的內容進行對鑒定器進行版本升級，或者對病毒庫進行及時更新。

根據本發明提供的具體實施例，本發明公開了以下技術效果：