[發明專利]一種文件檢測方法及裝置

有效

• 申請號: 201711403217.7
• 申請日: 2017-12-22
• 公開（公告）號: CN108256327B
• 公開（公告）日: 2020-12-29
• 發明（設計）人: 張驚申
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

1.一種文件檢測方法，其特征在于，所述方法應用于網絡安全設備，包括：

接收文件；

計算所述文件的第一哈希值；

根據所述第一哈希值構造所述文件的第二哈希值；所述第二哈希值的字節數少于第一哈希值；所述根據所述第一哈希值構造所述文件的第二哈希值，包括：從所述第一哈希值中提取指定字節上的數值，作為所述文件的第二哈希值；

檢查本地記錄的第二哈希特征庫是否包含所述文件的第二哈希值；所述第二哈希特征庫中的第二哈希值是依據樣本攻擊文件的第一哈希值構造得到的；

如果本地記錄的第二哈希特征庫包含所述文件的第二哈希值，則確定所述文件的第一哈希值是否命中預設的第一哈希特征庫；

若所述文件的第一哈希值命中預設的第一哈希特征庫，確定所述文件為攻擊文件；所述第一哈希特征庫記錄了樣本攻擊文件的第一哈希值。

2.根據權利要求1所述的方法，其特征在于，所述確定所述文件的第一哈希值是否命中預設的第一哈希特征庫，包括：

檢測所述文件的第一哈希值是否命中本地記錄的第一哈希特征子庫；所述第一哈希特征子庫記錄了命中第一哈希特征庫且本設備已檢測的文件的第一哈希值；

若所述文件的第一哈希值命中本地記錄的第一哈希特征子庫，則確定所述文件的第一哈希值命中所述第一哈希特征庫。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

如果所述文件的第一哈希值未命中所述第一哈希特征子庫，則將所述文件的第一哈希值發送至云端服務器，以使所述云端服務器確定所述第一哈希值是否命中該云端服務器上記錄的第一哈希特征庫；

在接收到云端服務器返回的確定命中消息后，確定所述第一哈希值命中預設的第一哈希特征庫。

4.根據權利要求3所述的方法，其特征在于，在接收到云端服務器返回的確定命中消息后，確定所述第一哈希值命中預設的第一哈希特征庫之后，所述方法還包括：

將所述第一哈希值添加至所述第一哈希特征子庫。

5.根據權利要求3所述的方法，其特征在于，所述方法還包括：

在接收到云端服務器返回的確定未命中消息后，確定所述文件為正常文件，放行所述文件。

6.根據權利要求1所述的方法，其特征在于，所述確定所述文件的第一哈希值是否命中預設的第一哈希特征庫，包括：

將所述文件的第一哈希值發送至云端服務器，以使所述云端服務器確定所述第一哈希值是否命中該云端服務器上記錄的第一哈希特征庫；

在接收到云端服務器返回的確定命中消息后，確定所述第一哈希值命中預設的第一哈希特征庫；

在接收到云端服務器返回的確定未命中消息后，確定所述第一哈希值未命中預設的第一哈希特征庫。

7.根據權利要求1所述的方法，其特征在于，在所述確定所述文件為攻擊文件之后，所述方法還包括：

依據與所述文件的第一哈希值對應的執行動作，對所述文件進行處理。

8.一種文件檢測裝置，其特征在于，所述裝置應用于網絡安全設備，包括：

接收單元，用于接收文件；

計算單元，用于計算所述文件的第一哈希值；

構造單元，用于根據所述第一哈希值構造所述文件的第二哈希值；所述第二哈希值的字節數少于第一哈希值；所述構造單元，具體用于從所述第一哈希值中提取指定字節上的數值，作為所述文件的第二哈希值；

檢查單元，用于檢查本地記錄的第二哈希特征庫是否包含所述文件的第二哈希值；所述第二哈希特征庫中的第二哈希值是依據樣本攻擊文件的第一哈希值構造得到的；

確定單元，用于如果本地記錄的第二哈希特征庫包含所述文件的第二哈希值，則確定所述文件的第一哈希值是否命中預設的第一哈希特征庫；若所述文件的第一哈希值命中預設的第一哈希特征庫，確定所述文件為攻擊文件；所述第一哈希特征庫記錄了樣本攻擊文件的第一哈希值。