[發明專利]基于虛擬機內外視圖交叉比對惡意代碼行為檢測方法及系統

有效

• 申請號: 201210185449.0
• 申請日: 2012-06-07
• 公開（公告）號: CN102750475B
• 公開（公告）日: 2017-08-15
• 發明（設計）人: 張文政;周安明;祝世雄;劉嘉勇;董新鋒;趙偉
• 申請（專利權）人: 中國電子科技集團公司第三十研究所
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F9/455
• 代理公司: 工業和信息化部電子專利中心11010
• 代理人: 張紅玉

1.一種基于虛擬機內外視圖交叉比對惡意代碼行為檢測方法，其特征在于，包括：虛擬機控制器啟動虛擬機檢測器，將分析目錄的惡意代碼發送給虛擬機檢測器，并對虛擬機檢測器進行控制；虛擬機檢測器在運行惡意代碼的同時，監視虛擬機內存的變化，同時記錄運行痕跡，并形成原始報表，當原始報表生成完畢后，再將該報表發送到綜合分析器；綜合分析器對這些報表記錄的惡意序列行為，綜合分析行為事件屬性元素間的關系以及行為上下文關系分析該惡意代碼的惡意行為；具體包括下列步驟：

步驟100：服務器接受用戶提交的惡意代碼，并將其保存到本地未檢測的目錄；

步驟200：系統監控到未檢測文件目錄不為空，則啟動虛擬機進程，待虛擬機啟動完畢，上傳未檢測文件樣本；同時啟動虛擬機監視器，監控虛擬機內存運行的信息；

步驟300：當虛擬機啟動完畢，先創建一個進程，將系統信息收集單元加載起來，同時加載虛擬機監視器，當所有加載程序加載完畢，然后運行樣本；

步驟400：在執行完畢后，綜合分析器根據虛擬機檢測器發送的分析信息分析操作的惡意等級。

2.如權利要求1所述的基于虛擬機內外視圖交叉比對惡意代碼行為檢測方法，其特征在于，在步驟400之后，進一步包括步驟：

當樣本在檢測過程中出現超時等待情況，則立即結束目標進程；而檢測結果文件則繼續發給綜合分析器以方便結果報表文件的生成。

3.如權利要求2所述的基于虛擬機內外視圖交叉比對惡意代碼行為檢測方法，其特征在于，綜合分析器對系統數據處理后進行分析，包括：

首先得到根據時間排序的行為事件序列SeqE＝{E1，E2，……，En}；

將執行體劃分到多個進程域或者中間文件域，建立執行體的上下文關系，完成域的劃分；劃分后的行為序列為P::{E1,E2,E8}，C1::{E3,E4}，C2::{E5,E6}，C3::{E7}；其中，P表示父進程或者主體文件，{Ci}表示子進程或者其主體文件的組件文件；

從P開始對每個域中的行為事件序列與特征庫中序列模式進行匹配，保存記錄匹配項的支持度μ_s；

對于未匹配的節點繼續進行行為屬性的匹配，依次提取行為事件中的葉子節點操作元素Op與對象元素Ob，查詢數據庫匹配關聯規則，對于匹配行為屬性關聯規則，記錄每一匹配項的支持度μ_a行為操作和行為操作對象；

計算匹配項的序列惡意度、行為屬性關聯惡意度和上下文惡意度；

計算綜合惡意度M，判定綜合惡意度計算值是否超過設定閾值ε，若超過，則判定檢測文件為惡意，并根據惡意度的高低，確定文件的風險等級。

4.如權利要求3所述的基于虛擬機內外視圖交叉比對惡意代碼行為檢測方法，其特征在于，在計算匹配項的序列惡意度、行為屬性關聯惡意度和上下文惡意度時，Mseq為序列惡意度，每一條匹配的序列惡意因子通過該條序列規則在特征庫中的支持度μ_s來表征，其中，Mseq根據下式得到：

Mseq(S_i)＝μ_S(S_i)；

Me表示行為屬性惡意度，每一條匹配的行為屬性的惡意因子通過該規則在特征庫中的支持度μ_a來表征，其中，Me通過下式得到：

Me(E_i)＝μ_a(E_i)；

Mc是上下文惡意度，Mc通過下式得到：

M_c＝W_i＝(W_Si*W_Oi*W_Pi)，

其中，W_Si是主體屬性惡意度權重；W_Oi是客體屬性惡意度權重；W_Pi為操作屬性惡意度權重，S_i表示序列，E_i表示元素。