[發明專利]一種平臺數據的操作方法

有效

• 申請號: 201710342424.X
• 申請日: 2017-05-16
• 公開（公告）號: CN107085685B
• 公開（公告）日: 2020-06-30
• 發明（設計）人: 王大林;劉穎
• 申請（專利權）人: 華訊高科股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/57
• 代理公司: 北京天奇智新知識產權代理有限公司 11340
• 代理人: 楊春

1.一種平臺數據的操作方法，包括：

在步驟S1中，在平臺上的應用的運行中獲取特征；

在步驟S2中，平臺分析簡檔類型，并與遠程設備交互，確定一致性；

在步驟S3中，針對不符合一致性的目標應用，平臺通過本地比較進行可疑目標應用的初步篩選；

在步驟S4中，針對不符合初步篩查的目標應用，平臺進行應用的行為評價；

在步驟S5中，確定惡意應用后，本地查殺并報備遠程設備；

在步驟S6中，對于受損的平臺數據進行驗證和修復；

在步驟S7中，運行修復的平臺數據，核查是否有已被查殺的應用的簡檔；

在步驟S8中，如果有已被查殺的應用的簡檔，則重復執行步驟S5至S7，直至不再有已被查殺的應用的簡檔；如果不再有已被查殺的應用的簡檔，則設置定時，后續繼續重復執行步驟S1至S7；

其中在步驟S1中，在平臺上的應用的運行中獲取特征包括：在平臺的應用啟動過程中，根據內存加載來啟動監視進程，收集應用的啟動項、運行環境、加載器信息、對底層接口的調用信息、句柄、應用在同期產生的簡檔，并記錄其路徑和文檔名、類型、時間；其中啟動項包括校驗和其它結構的偏移地址和長度信息；加載器信息包括與上下文相關聯的信息和耦合參數配置信息；該簡檔既包括在主存儲器中的信息，也包括在輔助存儲器中的信息，并且包括臨時文件以及在運行結束時和運行結束后一段時間終止執行或刪除的文件；

其中在步驟S2中，平臺分析簡檔類型，并與遠程設備交互，確定一致性包括：根據簡檔信息的收集，對于可疑目標應用，先進行解壓，然后進行文件名和類型的篩查；所述可疑目標應用包括與平臺上已安裝的合法應用相關的應用；對于與合法應用類似文件名、擴展名的簡檔，則通過有線或無線鏈路而將可疑信息發送至遠程設備；該遠程設備存儲有可疑信息的不同類型和不同類別的歷史簡檔，所述不同類型包括：已確定的惡意應用、待確定的惡意應用和合法應用，待確定的惡意應用包括各平臺匯聚的有潛在威脅的和無法確定的應用；不同各類別包括不同的擴展名；其中該遠程設備首先對用戶信息進行識別和認證，該用戶信息包括用戶ID、IP、時間戳、可疑應用簡檔信息，如果通過識別和認證則允許通過查詢來確定，如果無法通過識別和認證則發回拒絕響應；遠程設備交互確定一致性包括：遍歷不同類別的歷史簡檔，逐個核查可疑應用簡檔信息與歷史簡檔的一致性，如果匹配查找器對應的類型然后輸出，如果不匹配則直接輸出結果。

2.如權利要求1所述的平臺數據的操作方法，其中在步驟S3中，針對不符合一致性的目標應用，平臺通過本地比較進行可疑目標應用的初步篩選包括：將可疑應用信息進行反編譯以生成第一對象，分析第一對象的調用，并進行矢量化，獲取矢量，分析與參照值的各元素值的平方差最小的矢量，據此分析該可疑應用與合法應用的近似程度，如果近似程度的量化值大于或等于第一閾值，則進入下一步驟；如果近似程度的量化值小于第一閾值，則確定該可疑應用為非惡意應用。

3.如權利要求2所述的平臺數據的操作方法，其中在步驟S4中，針對不符合初步篩查的目標應用，平臺進行應用的行為評價包括：生成該可疑應用的數據流和控制流，確定其信息流向，并且分析可疑應用是與用戶進行交互，與射頻收發裝置是否有雙向或單向的信號流動或控制，是否新建文件夾路徑來保存生成和已生成的文件，分別根據這些情況進行賦值，并且根據預設的權重值對其進行加權求和并獲得行為評價參數，并與第二閾值比較，如果大于或等于第二閾值，則確定該可疑應用確實為惡意應用；如果小于第二閾值，則確定該可疑應用為非惡意應用。

4.如權利要求3所述的平臺數據的操作方法，其中在步驟S5中，確定惡意應用后，本地查殺并報備遠程設備包括：查詢進程列表，由確定后生成的使能指令自動結束該進程，調取該惡意應用的簡檔和文件夾位置、相關生成文件和壓縮包，進行刪除，并在預設時間值之后檢查是否重新生成或更新，如果是的話則執行該步驟，直到不再存在；并且將該惡意應用的所有信息傳輸到遠程設備進行報備，其中遠程設備通過再次核實用戶端的請求和身份，通過則接受該傳輸的信息并進行分類和存儲。