[發(fā)明專利]惡意通信模式提取裝置、惡意通信模式提取系統(tǒng)、惡意通信模式提取方法及惡意通信模式提取程序

在審

• 申請(qǐng)?zhí)枺?/td>: 201680008361.8
• 申請(qǐng)日: 2016-02-03
• 公開（公告）號(hào): CN107209834A
• 公開（公告）日: 2017-09-26
• 發(fā)明（設(shè)計(jì)）人: 神谷和憲;青木一史;中田健介;佐藤?gòu)?/a>
• 申請(qǐng)（專利權(quán)）人: 日本電信電話株式會(huì)社
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京三友知識(shí)產(chǎn)權(quán)代理有限公司11127
• 代理人: 黃綸偉,金玲

1.一種惡意通信模式提取裝置，其提取惡意通信模式，該惡意通信模式用于檢測(cè)惡意軟件所產(chǎn)生的通信量，

該惡意通信模式提取裝置的特征在于，其具備：

統(tǒng)計(jì)值計(jì)算部，其由第一通信量日志和第二通信量日志計(jì)算對(duì)于字段及值的組的每個(gè)通信模式的出現(xiàn)頻度的統(tǒng)計(jì)值，其中，該第一通信量日志是由所述惡意軟件所產(chǎn)生的通信量獲得的，該第二通信量日志是由規(guī)定的通信環(huán)境中的通信量獲得的；

提取部，其根據(jù)所述統(tǒng)計(jì)值計(jì)算部計(jì)算出的統(tǒng)計(jì)值，針對(duì)每個(gè)所述通信模式，比較所述第一通信量日志的出現(xiàn)頻度和所述第二通信量日志的出現(xiàn)頻度，在兩者的出現(xiàn)頻度之差為預(yù)先對(duì)統(tǒng)計(jì)值設(shè)定的第一閾值以上的情況下，將該通信模式作為所述惡意通信模式而進(jìn)行提取；及

閾值設(shè)定部，其在適用了所述提取部提取出的所述惡意通信模式的情況下，為了檢測(cè)是否為所述惡意軟件所產(chǎn)生的通信量，作為與至少一種該惡意通信模式一致的次數(shù)或與該惡意通信模式一致時(shí)的該惡意通信模式的種類數(shù)的第二閾值，以使得誤檢測(cè)率為一定值以下且使檢測(cè)率為一定值以上的方式設(shè)定所述第二閾值，其中，該誤檢測(cè)率是錯(cuò)誤地檢測(cè)所述惡意軟件所產(chǎn)生的通信量的概率，該檢測(cè)率是檢測(cè)所述惡意軟件所產(chǎn)生的通信量的概率。

2.根據(jù)權(quán)利要求1所述的惡意通信模式提取裝置，其特征在于，該惡意通信模式提取裝置還具備：

識(shí)別符設(shè)定部，其對(duì)所述通信模式附加用于識(shí)別在作為惡意通信模式而提取的情況下可檢測(cè)的惡意軟件的惡意軟件識(shí)別符；及

識(shí)別符設(shè)定完成惡意列表提取部，其將通過所述識(shí)別符設(shè)定部附加了所述惡意軟件識(shí)別符的所述通信模式中的、所附加的所述惡意軟件識(shí)別符不包括在附加到其他通信模式中的所述惡意軟件識(shí)別符中的所述通信模式作為惡意通信模式而進(jìn)行提取。

3.一種惡意通信模式提取系統(tǒng)，其具備：惡意通信模式提取裝置，其提取惡意通信模式，該惡意通信模式用于檢測(cè)惡意軟件所產(chǎn)生的通信量；第一網(wǎng)絡(luò)，其產(chǎn)生第一通信量日志，該第一通信量日志是由所述惡意軟件所產(chǎn)生的通信量獲得的；及第二網(wǎng)絡(luò)，其產(chǎn)生第二通信量日志，該第二通信量日志是由規(guī)定的通信環(huán)境中的通信量獲得的，

所述惡意通信模式提取系統(tǒng)的特征在于，所述惡意通信模式提取裝置具備：

統(tǒng)計(jì)值計(jì)算部，其由所述第一通信量日志和所述第二通信量日志計(jì)算對(duì)于字段及值的組的每個(gè)通信模式的出現(xiàn)頻度的統(tǒng)計(jì)值；

提取部，其根據(jù)所述統(tǒng)計(jì)值計(jì)算部計(jì)算出的統(tǒng)計(jì)值，針對(duì)每個(gè)所述通信模式，比較所述第一通信量日志的出現(xiàn)頻度和所述第二通信量日志的出現(xiàn)頻度，在兩者的出現(xiàn)頻度之差為預(yù)先對(duì)統(tǒng)計(jì)值設(shè)定的第一閾值以上的情況下，將該通信模式作為所述惡意通信模式而進(jìn)行提取；及

閾值設(shè)定部，其在適用了所述提取部提取出的所述惡意通信模式的情況下，為了檢測(cè)是否為所述惡意軟件所產(chǎn)生的通信量，作為與至少一種該惡意通信模式一致的次數(shù)或與該惡意通信模式一致時(shí)的該惡意通信模式的種類數(shù)的第二閾值，以使得誤檢測(cè)率為一定值以下且檢測(cè)率為一定值以上的方式設(shè)定所述第二閾值，其中，該誤檢測(cè)率是錯(cuò)誤地檢測(cè)所述惡意軟件產(chǎn)生的通信量的概率，該檢測(cè)率是檢測(cè)所述惡意軟件所產(chǎn)生的通信量的概率。