[發明專利]一種云平臺惡意行為檢測系統及其方法

在審

• 申請號: 201611149850.3
• 申請日: 2016-12-14
• 公開（公告）號: CN106713293A
• 公開（公告）日: 2017-05-24
• 發明（設計）人: 羅蛟;保永武;葉猛
• 申請（專利權）人: 武漢虹旭信息技術有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 武漢宇晨專利事務所42001
• 代理人: 黃瑞棠

1.一種云平臺惡意行為檢測系統，其特征在于：

包括云端（10）和目標客戶端（20）；其中云端（10）包括第1行為檢測器（11）、第1網絡檢測器（12）、掃描器（13）、模式篩選器（14）、第1惡意程序庫（15）、第1可信程序庫（16）和第1網絡攻擊模式庫（17）；其中目標客戶端（20）包括第2行為檢測器（21）、第2網絡檢測器（22）、行為探針（23）、網絡探針（24）、第2惡意程序庫（25）、第2可信程序庫（26）和第2網絡攻擊模式庫（27）；

其交互關系是：

第2行為檢測器（21）分別與行為探針（23）、第2惡意程序庫（25）、第2可信程序庫（26）和第1行為檢測器（11）進行交互，實現在目標客戶端（20）上對程序惡意行為的提取、識別和響應；

第2網絡檢測器（22）分別與網絡探針（24）、第2網絡攻擊模式庫（27）和第1網絡檢測器（12）進行交互，實現在目標客戶端（20）上對網絡惡意行為的提取、識別和響應；

第1行為檢測器（11）分別與第1惡意程序庫（15）、第1可信程序庫（16）、掃描器（13）和第2行為檢測器（21）進行交互，實現在云端（10）對惡意程序行為的提取、識別和響應；

第1網絡檢測器（12）分別與第1網絡攻擊模式庫（17）和第2網絡檢測器（22）進行交互，實現在云端（10）上對惡意網絡攻擊行為的提取、識別和響應；

模式篩選器（14）分別與第1惡意程序庫（15）、第1可信程序庫（16）、第1網絡攻擊模式庫（17）、第2惡意程序庫（25）、第2可信程序庫（26）和第2網絡攻擊模式庫（27）進行交互，實現對目標客戶端（20）的信息收集和對檢測規則的下發。

2.基于權利要求1所述系統的一種云平臺惡意行為檢測方法，其特征在于：

①行為探針（23）針對程序惡意行為，提取目標客戶端（20）上的程序信息摘要，發送給第2行為檢測器（21），進行惡意行為檢測；

②第2行為檢測器（21）通過行為探針（23）提交的程序信息摘要，結合第2惡意程序庫（25）、第2可信程序庫（26）識別程序惡意行為；對于無法識別的可疑程序，則提交給云端（10）的第1行為檢測器（11）進行檢測；

③第2網絡檢測器（22）通過網絡探針（24）提交的網絡流量摘要，結合第2網絡攻擊模式庫（27）識別網絡惡意行為；對于無法識別的可疑流量，則提交給云端（10）的第1網絡檢測器（12）進行檢測；在云端（10）的第1網絡檢測器（12）通過第2網絡檢測器（22）提交的網絡流量摘要，結合第1網絡攻擊模式庫（17）識別網絡惡意行為；

④第1行為檢測器（11）通過第2行為檢測器（21）提交的程序信息摘要，結合第1惡意程序庫（15）、第1可信程序庫（16）識別程序惡意行為；對于無法識別的可疑程序，則提交掃描器（13）進行檢測；對于識別的可疑程序和正常程序，則分別更新第1惡意程序庫（15）和第1可信程序庫（16）；

⑤掃描器（13）接收第1行為檢測器（11）提交的程序信息摘要，通過第1、2……N掃描引擎（131、132……13N）對可疑程序進行掃描，識別程序惡意行為；

⑥模式篩選器（14）結合客戶端的環境信息，對第1惡意程序庫（15）、可第1信程序庫（16）、第1網絡攻擊模式庫（17）的更新部分進行篩選，實時下發給目標客戶端（20），以更新目標客戶端（20）的第1惡意程序庫（15）、第1可信程序庫（16）和第1網絡攻擊模式庫（17）。