[發明專利]一種office文檔文件的惡意代碼檢測方法及系統在審
| 申請號： | 201710175347.3 | 申請日： | 2017-03-22 |
| 公開（公告）號： | CN107025407A | 公開（公告）日： | 2017-08-08 |
| 發明（設計）人： | 李海靈;鄒瀟湘;高昕;侯美佳;何躍鷹;卓子寒;劉中金;方喆君 | 申請（專利權）人： | 國家計算機網絡與信息安全管理中心 |
| 主分類號： | G06F21/56 | 分類號： | G06F21/56;G06F21/53 |
| 代理公司： | 北京國坤專利代理事務所(普通合伙)11491 | 代理人： | 姜彥 |
| 地址： | 100029*** | 國省代碼： | 北京;11 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 一種 office 文檔 文件 惡意代碼 檢測 方法 系統 | ||
1.一種office文檔文件的惡意代碼檢測方法，其特征在于：包括如下步驟：
(S10)將待檢測文檔文件投入虛擬沙箱執行，并監控是否存在異常行為，若存在則判定待檢測文檔文件為疑似溢出文檔文件，并進行進一步檢測；
(S20)提取待檢測文檔文件的宏代碼，將所述宏代碼與惡意宏代碼特征庫匹配，若匹配成功則判定待檢測文檔文件為宏病毒文檔文件，否則運行所述宏代碼，并監控是否存在聯網行為，若存在則進行進一步檢測。
2.根據權利要求1所述的一種office文檔文件的惡意代碼檢測方法，其特征在于：所述步驟(S10)中將待檢測文檔文件投入虛擬沙箱后，是通過運行各流行版本的office軟件來監控是否存在異常行為。
3.根據權利要求1所述的一種office文檔文件的惡意代碼檢測方法，其特征在于：所述步驟(S10)中監控是否存在異常行為包括：
是否存在可疑EXE進程鏈，若存在則提取相關EXE文件進行進一步檢測；
是否存在聯網行為，若存在則判斷聯網行為所涉及網絡與白名單是否匹配，若匹配則判定為正常文件，否則提取相關EXE文件進行進一步檢測。
4.根據權利要求3所述的一種office文檔文件的惡意代碼檢測方法，其特征在于：提取相關EXE文件進行進一步檢測的方法具體為：將EXE文件與文件白名單匹配，若匹配成功則判定為正常文件，否則按照已有策略對所述EXE文件進行惡意代碼檢測。
5.根據權利要求3所述的一種新型救生錘，其特征在于，所述聯網行為存在的話，其進一步檢測的方法包括：
若聯網行為所涉及網路有活性，則下載可執行代碼到本地，并進一步判斷所述可執行代碼是否惡意；
若聯網行為所涉及網絡已失活，則將所涉及網絡與網絡白名單匹配，若匹配失敗則報警并判定為疑似宏病毒文檔文件。
6.一種office文檔文件的惡意代碼檢測系統，其特征在于，包括：
溢出文件檢測模塊，用于將待檢測文檔文件投入虛擬沙箱執行，并監控是否存在異常行為，若存在則判定待檢測文檔文件為疑似溢出文檔文件，并進行進一步檢測；
宏病毒檢測模塊，用于提取待檢測文檔文件的宏代碼，將所述宏代碼與惡意宏代碼特征庫匹配，若匹配成功則判定待檢測文檔文件為宏病毒文檔文件，否則運行所述宏代碼，并監控是否存在聯網行為，若存在則進行進一步檢測。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于國家計算機網絡與信息安全管理中心，未經國家計算機網絡與信息安全管理中心許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201710175347.3/1.html，轉載請聲明來源鉆瓜專利網。
