[發(fā)明專利]用于惡意代碼檢測的準確保證的系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 201580074497.4
• 申請日: 2015-11-24
• 公開（公告）號: CN107251513B
• 公開（公告）日: 2020-06-09
• 發(fā)明（設計）人: 羅伊·喀特莫爾;湯默爾·比東;尤的·雅沃;伊多·凱樂蓀
• 申請（專利權）人: 恩西洛有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海翼勝專利商標事務所(普通合伙) 31218
• 代理人: 翟羽

1.一種用于認證由一被允許的代碼建立一網(wǎng)絡連線的一企圖的方法，其特征在于︰所述方法包含步驟︰

提供具有多個之前被觀測的多個堆棧跟蹤模板的一數(shù)據(jù)集，其中所述多個堆棧跟蹤模板的每一個代表在多個堆棧跟蹤中普遍存在的一堆棧跟蹤模式，其中所述多個堆棧跟蹤是通過監(jiān)控多個用戶的多個堆棧而記錄，其中所述多個用戶是在一連線建立過程中執(zhí)行一被允許的代碼，其中所述連線建立過程是用于建立與所述被允許的代碼相關的多個網(wǎng)絡連線；

接收一新的堆棧跟蹤，其中所述新的堆棧跟蹤是在用于一新的網(wǎng)絡連線的一新的連線建立過程中被一新的用戶記錄；

測量所述新的堆棧跟蹤與所述多個堆棧跟蹤模板之間的一相似度，以識別一被匹配到的堆棧跟蹤模板；

評估所述被匹配到的堆棧跟蹤模板，以用于一被預定的規(guī)則要求；及

以所述被匹配到的堆棧跟蹤模板來更新一規(guī)則集數(shù)據(jù)庫，以認證與多個堆棧模板相關聯(lián)的多個新的網(wǎng)絡連線建立，其中所述多個堆棧模板與所述被匹配到的堆棧跟蹤模板相匹配；

其中評估所述被匹配到的堆棧跟蹤模板的步驟包含：

遞增一計數(shù)器的一值，其中所述計數(shù)器指示從多個不同的用戶而來的多個之前堆棧跟蹤模板匹配；及

評估所述值是否違反多個匹配的所述被預定的規(guī)則要求。

2.如權利要求1所述的方法，其特征在于︰所述多個堆棧跟蹤模板被指定為代表所述被允許的代碼的一可疑惡意行為。

3.如權利要求1所述的方法，其特征在于︰所述多個堆棧跟蹤模板及所述新的堆棧跟蹤包括被以與所述被允許的代碼的所述堆棧跟蹤相關聯(lián)的方式收集的一上下文數(shù)據(jù)，及所述相似度是依據(jù)所述上下文數(shù)據(jù)而被測量。

4.如權利要求3所述的方法，其特征在于︰所述上下文數(shù)據(jù)包括一事件識別碼及/或一主機名稱。

5.如權利要求3所述的方法，其特征在于︰所述上下文數(shù)據(jù)包括選自由下述組成的群組中的至少一成員：在個別的用戶處運行的一相似操作系統(tǒng)、一相似被允許的應用程序、多個不同被允許的應用程序的一相似堆棧跟蹤數(shù)據(jù)，及建立所述網(wǎng)絡連線的多個相似協(xié)議。

6.如權利要求1所述的方法，其特征在于︰所述方法還包含︰基于所述匹配的不存在，將所述新的堆棧跟蹤加入所述數(shù)據(jù)集成為一新的堆棧跟蹤模板。

7.如權利要求1所述的方法，其特征在于︰所述多個不同的用戶為一相同被指定的群組的一部分。

8.如權利要求1所述的方法，其特征在于︰當所述被匹配到的堆棧跟蹤模板及所述新的堆棧跟蹤與多個不同的用戶相關聯(lián)時，評估所述被匹配到的堆棧跟蹤模板的步驟即被進行，以用于所述被預定的規(guī)則要求。

9.如權利要求1所述的方法，其特征在于︰所述方法還包含︰

分析所述新的堆棧跟蹤以指定所述網(wǎng)絡連線為懷疑與一惡意代碼相關；及

所述方法還包含︰

重指定與所述惡意代碼相關的所述懷疑為與所述被允許的代碼相關。

10.如權利要求9所述的方法，其特征在于︰與所述惡意代碼相關的所述懷疑是由一新的被允許的代碼所引起，其中所述新的被允許的代碼被安裝于顯示一像惡意的行為的所述新的用戶上。

11.如權利要求9所述的方法，其特征在于︰所述被允許的代碼代表由不正確地引起懷疑與所述惡意代碼相關的所述識別而來的一假陽性識別。

12.如權利要求9所述的方法，其特征在于︰所述堆棧跟蹤被與至少一堆棧跟蹤模板匹配，其中所述堆棧跟蹤與一被認證通過的新的網(wǎng)絡連線相關聯(lián)，及所述至少一堆棧跟蹤模板與建立用于一惡意通信的所述網(wǎng)絡連線的一企圖相關聯(lián)。