[發明專利]一種惡意文檔檢測方法及裝置

有效

• 申請號: 201710081580.5
• 申請日: 2017-02-15
• 公開（公告）號: CN106778278B
• 公開（公告）日: 2019-09-10
• 發明（設計）人: 喻民;劉超;劉云政;李敏;姜建國
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王慶龍

技術領域

本發明涉及計算機技術領域，具體涉及一種惡意文檔檢測方法及裝置。

背景技術

惡意文檔在正常的文檔中寫入惡意代碼，利用文檔解析程序的漏洞使惡意代碼執行的文檔。惡意文檔能夠實現攻擊行為是因為：為豐富文檔的展示效果并實現對多種功能的支持，文檔中支持嵌入腳本代碼，允許執行系統調用。惡意文檔檢測起始于對Office文檔宏病毒的檢測。目前，對微軟Office文檔(word、ppt、excel等)和pdf文檔檢測是惡意文檔檢測的重點研究內容。

目前針對惡意文檔的檢測主要通過：提取文檔中的惡意shellcode代碼，利用已有的shellcode代碼特征庫進行匹配。提取文檔中嵌入的腳本代碼，對腳本代碼中的系統調用進行檢測。在仿真環境下(如沙箱系統)使用文檔閱讀軟件打開文檔，檢測系統狀態和閱讀器軟件的進程行為等。現有的惡意文檔檢測方法中，提取文檔中的結構特征和元數據特征，利用機器學習方法訓練出檢測模型，利用訓練出的檢測模型對待測文檔進行檢測。文檔的結構特征反映了文檔中資源的分布情況，圖1是現有的pdf文檔結構示意圖，圖2是現有的word文檔結構示意圖。元數據特征包括文檔中嵌入的腳本語言、文檔大小、文檔的生成軟件、文檔中是否有壓縮內容等一系列的屬性特征。

由于不同文檔的文檔結構不同，并且文檔中支持嵌入的腳本語言也不同(如Office中為VBScript，pdf中為JavaScript)。現有的惡意文檔檢測方法檢測的文檔類型單一，只針對某一特定類型的文檔進行檢測。如果只是組合各種已有的文檔檢測模型來實現多種文檔的統一檢測，需要提取的特征太多，利用機器學習建立模型或更新模型都需要耗費大量的時間，文檔檢測效率低。

發明內容

本發明實施例提供一種惡意文檔檢測方法及裝置，用于解決現有的惡意文檔檢測方法只能對特定類型的文檔進行檢測的問題。

本發明實施例提供了一種惡意文檔檢測方法，包括：

根據統一化處理后的各個文檔類型的文檔的結構特征和元數據特征建立機器學習模型；

獲取待檢測文檔的結構特征和元數據特征；

采用通用的結構特征模型表示所述待檢測文檔的結構特征，采用通用的元數據特征模型表示所述待檢測文檔的元數據特征；

采用所述機器學習模型根據所述待檢測文檔的結構特征和元數據特征對所述待檢測文檔進行檢測。

可選地，在所述根據統一化處理后的各個文檔類型的文檔的結構特征和元數據特征建立機器學習模型之前，所述方法還包括：

獲取多種文檔類型的文檔對應的結構特征，將不同文檔類型的相同屬性的結構特征進行統一命名；

采用通用的結構特征模型表示各個文檔類型的文檔對應的結構特征；

獲取多種文檔類型的文檔對應的元數據特征，將不同文檔類型的相同屬性的元數據特征進行統一命名；

采用通用的元數據特征模型表示各個文檔類型的文檔對應的元數據特征。

可選地，所述獲取待檢測文檔的結構特征和元數據特征，包括：

判斷待檢測文檔的文檔類型，根據所述待檢測文檔的文檔類型提取待檢測文檔的結構特征和元數據特征。

可選地，所述采用通用的結構特征模型表示所述待檢測文檔的結構特征，包括：

采用有向圖表示所述待檢測文檔的結構，使用矩陣表示所述有向圖；

其中，所述矩陣的列表示所述有向圖的各個節點的起點，所述矩陣的行表示所述有向圖的各個節點的終點，用1表示起點到終點可達，用0表示起點到終點不可達。

可選地，所述采用通用的元數據特征模型表示所述待檢測文檔的元數據特征，包括：

將所述待檢測文檔中的腳本語言轉換為通用的元數據特征模型中的中間語言。

本發明實施例提供了一種惡意文檔檢測裝置，包括：

機器學習模型建立單元，用于根據統一化處理后的各個文檔類型的文檔的結構特征和元數據特征建立機器學習模型；

特征獲取單元，用于獲取待檢測文檔的結構特征和元數據特征；

特征統一化單元，用于采用通用的結構特征模型表示所述待檢測文檔的結構特征，采用通用的元數據特征模型表示所述待檢測文檔的元數據特征；

檢測單元，用于采用所述機器學習模型根據所述待檢測文檔的結構特征和元數據特征對所述待檢測文檔進行檢測。

可選地，還包括：

統一化處理單元，用于獲取多種文檔類型的文檔對應的結構特征，將不同文檔類型的相同屬性的結構特征進行統一命名；

采用通用的結構特征模型表示各個文檔類型的文檔對應的結構特征；