[發明專利]惡意軟件的檢測方法及裝置、計算機裝置及可讀存儲介質

有效

• 申請號: 201710613485.5
• 申請日: 2017-07-25
• 公開（公告）號: CN107222511B
• 公開（公告）日: 2021-08-13
• 發明（設計）人: 梁玉;余文毅;趙振洋
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

1.一種惡意軟件的檢測方法，其特征在于，包括：

獲取多個惡意軟件產生的網絡流量；

基于所述網絡流量的統計特征對所述多個惡意軟件粗粒度聚類，得到第一聚類結果，所述統計特征用來刻畫網絡流量的宏觀特征；所述基于所述網絡流量的統計特征對所述多個惡意軟件粗粒度聚類，包括：根據各個惡意軟件的HTTP消息的統計特征確定各個惡意軟件的坐標，采用各個惡意軟件的坐標之間的歐式距離確定惡意軟件之間的相似性；根據惡意軟件之間的相似性對惡意軟件進行粗粒度聚類，得到第一聚類結果；

基于所述網絡流量的內容特征對所述第一聚類結果中的每一類惡意軟件細粒度聚類，得到第二聚類結果，所述內容特征關注網絡流量中的預設字段；

為所述第二聚類結果中的每一類惡意軟件生成簽名，以利用所述簽名進行惡意軟件檢測。

2.根據權利要求1所述的惡意軟件的檢測方法，其特征在于，所述統計特征包括超文本傳輸協議HTTP請求數量、目標請求方法對應的HTTP消息數量、統一資源標識符URI的平均長度和HTTP響應數量中的一個或多個；

所述目標請求方法包括獲取GET、提交POST和刪除DELETE中的一個或多個。

3.根據權利要求1或2所述的惡意軟件的檢測方法，其特征在于，所述為所述第二聚類結果中的每一類惡意軟件生成簽名包括：

將所述第二聚類結果中的每一類惡意軟件產生的網絡流量按照相似性進行分組；

為分組結果中每個組的所述網絡流量生成簽名。

4.根據權利要求3所述的惡意軟件的檢測方法，其特征在于，所述為分組結果中每個組的所述網絡流量生成簽名包括：

步驟1：提取當前組的所述網絡流量的特征字符串；

步驟2：選取重復次數最多的所述特征字符串，和/或，所述特征字符串的公共字符串，為所述當前組的所述網絡流量生成簽名；

步驟3：重復步驟1和步驟2，直至為分組結果中每個組的所述網絡流量生成簽名。

5.一種惡意軟件的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取多個惡意軟件產生的網絡流量；

第一聚類模塊，用于基于所述網絡流量的統計特征對所述多個惡意軟件粗粒度聚類，得到第一聚類結果，所述統計特征用來刻畫網絡流量的宏觀特征；所述基于所述網絡流量的統計特征對所述多個惡意軟件粗粒度聚類，包括：根據各個惡意軟件的HTTP消息的統計特征確定各個惡意軟件的坐標，采用各個惡意軟件的坐標之間的歐式距離確定惡意軟件之間的相似性；根據惡意軟件之間的相似性對惡意軟件進行粗粒度聚類，得到第一聚類結果；

第二聚類模塊，用于基于所述網絡流量的內容特征對所述第一聚類結果中的每一類惡意軟件細粒度聚類，得到第二聚類結果，所述內容特征關注網絡流量中的預設字段；

簽名生成模塊，用于為所述第二聚類結果中的每一類惡意軟件生成簽名，以利用所述簽名進行惡意軟件檢測。

6.根據權利要求5所述的惡意軟件的檢測裝置，其特征在于，所述統計特征包括超文本傳輸協議HTTP請求數量、目標請求方法對應的HTTP消息數量、統一資源標識符URI的平均長度和HTTP響應數量中的一個或多個；

所述目標請求方法包括獲取GET、提交POST和刪除DELETE中的一個或多個。

7.根據權利要求5或6所述的惡意軟件的檢測裝置，其特征在于，所述簽名生成模塊包括：

分組單元，用于將所述第二聚類結果中的每一類惡意軟件產生的網絡流量按照相似性進行分組；

簽名生成單元，用于為分組結果中每個組的所述網絡流量生成簽名。

8.根據權利要求7所述的惡意軟件的檢測裝置，其特征在于，所述簽名生成單元包括：

提取子單元，用于提取當前組的所述網絡流量的特征字符串；

簽名生成子單元，用于選取重復次數最多的所述特征字符串，和/或，所述特征字符串的公共字符串，為所述當前組的所述網絡流量生成簽名。