[發明專利]一種白名單的維護方法及裝置

在審

• 申請號: 201610807383.2
• 申請日: 2016-09-07
• 公開（公告）號: CN107800673A
• 公開（公告）日: 2018-03-13
• 發明（設計）人: 余雙成;章康;喬偉
• 申請（專利權）人: 武漢安天信息技術有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及信息安全技術領域，尤其涉及一種白名單的維護方法及裝置。

背景技術

信息安全技術領域，為了加快反病毒引擎處理速度，降低惡意軟件誤報率，通常會用到白名單技術，其具有提取信息快速、檢測快、誤報較低等優點。具體的，白名單本質上是一個集合，里面的記錄是安全的，其基本原理是將樣本文件提取的特征信息（如文件hash值，證書信息，包名等作為特征）和殺毒引擎的病毒庫中的特征信息做比對，如果特征信息出現在病毒庫的白名單里，則判定該樣本為“白性”，不會再進行其他檢驗，檢測結果會直接輸出?？梢?，白名單的質量至關重要，若能否及時、準確的反應當前惡意代碼發展狀況下樣本的可信賴情況，則能降低反病毒引擎的誤報率和漏報率。

由于樣本數量巨大，量級在千萬以上，白名單列表也相應較大，手工維護較困難，因此一些自動化維護方法應運而生。現有技術中通過設置生存時間來對樣本進行維護，即利用時間衰減函數來設置白名單中記錄的生存時間，同時，利用記錄在給定時間內的被查詢次數調整對應記錄的生存時間，根據生存時間來對樣本進行維護。此方法主要缺點在于白名單的更新具有一定滯后性。例如當白名單的某條記錄所對應的樣本出現了惡意樣本，該記錄已經不再是“白性”，本該被刪除掉，但是由于其生存時間尚未到設定閾值，所以依然存在于白名單中，導致惡意樣本出現漏報。同時，該方法存在時間衰減函數、閾值不易設置的問題。

發明內容

本發明的目的在于提供一種白名單的維護方法及裝置，使得白名單能及時、自動化更新護且該白名單對樣本的檢測效率高、誤報率低。

本發明提供了一種白名單的維護方法，其包括以下內容：

預設一初始白名單及一樣本集合，其中，所述樣本集合為非惡意樣本的集合，初始白名單中的各條記錄為樣本集合中各樣本文件按照預設規則所提取的特征信息，初始白名單里的一條記錄與一個樣本文件或者多個樣本文件相對應；

采集新樣本文件；

判斷所述新樣本文件是否與樣本集合中的樣本文件匹配，若不匹配則提取該新樣本文件的特征信息；

當所提取的特征信息與初始白名單中的記錄匹配時，判斷新樣本文件是否為惡意文件；

若為惡意文件則將該初始白名單中的相應記錄刪除，獲得一更新的白名單，反之，則保持該初始白名單不變。

進一步的，樣本文件的特征信息包括樣本文件的hash值、證書信息或包名。

進一步的，判斷新樣本文件是否為惡意文件的方法包括文件名檢測、OpCode檢測、行為檢測或符號檢測。

進一步的，若所提取的特征信息與初始白名單中的記錄不匹配，則按照預設的規則對該新文件樣本進行檢測，若該新文件為非惡意樣本，則將該新樣本文件加入樣本集合，并提取該新樣本文件的特征信息，將該特征信息添加到初始白名單中，獲得一更新的白名單。

本發明還提供了一種白名單的維護裝置，其包括存儲模塊、采集模塊、判斷模塊，其中：

所述存儲模塊用于保存及維護數據，所述數據至少包括一預設的初始白名單及一樣本集合，其中，所述樣本集合為非惡意樣本的集合，初始白名單中的各條記錄為樣本集合中各樣本文件按照預設規則所提取的特征信息，初始白名單里的一條記錄與一個樣本文件或者多個樣本文件相對應，所述維護數據至少包括保持數據不變或對數據進行刪減；

所述采集模塊用于采集新樣本文件；

所述判斷模塊用于判斷所述新樣本文件是否與樣本集合中的樣本文件匹配，若不匹配則提取該新樣本文件的特征信息；當所提取的特征信息與初始白名單中的記錄匹配時，判斷新樣本文件是否為惡意文件；若為惡意文件則通知該存儲模塊將該初始白名單中的相應記錄刪除，獲得一更新的白名單，反之，則通知該存儲模塊保持該初始白名單不變。

進一步的，樣本文件的特征信息包括樣本文件的hash值、證書信息或包名。

進一步的，所述判斷模塊判斷新樣本文件是否為惡意文件的方法包括文件名檢測、OpCode檢測、行為檢測或符號檢測。

進一步的，所述判斷模塊判斷所提取的特征信息與初始白名單中的記錄是否匹配，若不匹配則按照預設的規則對該新文件樣本進行檢測，若該新文件為非惡意樣本，則提取該新樣本文件的特征信息，并將該新樣本文件及其特征信息發送給所述存儲模塊，所述存儲模塊將該新樣本文件加入樣本集合中，得到一新的樣本集合，并將該特征信息添加到初始白名單中，則獲得一更新的白名單。