[發(fā)明專利]一種文件檢測方法、裝置、電子設(shè)備及存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201711414895.3
• 申請日: 2017-12-22
• 公開（公告）號: CN108804917B
• 公開（公告）日: 2022-03-18
• 發(fā)明（設(shè)計(jì)）人: 馬建偉;李柏松;王小豐
• 申請（專利權(quán)）人: 安天科技集團(tuán)股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市廣友專利事務(wù)所有限責(zé)任公司 11237
• 代理人: 祁獻(xiàn)民

本發(fā)明實(shí)施例公開一種文件檢測方法、裝置、電子設(shè)備及存儲介質(zhì)，能夠?qū)ξ粗募陌踩赃M(jìn)行較為準(zhǔn)確和高效的檢測。所述方法包括：將待檢測文件的文件屬性按照預(yù)設(shè)維度進(jìn)行維度特征統(tǒng)計(jì)；檢測統(tǒng)計(jì)出的所述待檢測文件的維度特征與文件畫像庫中安全性已知的文件的維度特征的總相關(guān)度；根據(jù)所述總相關(guān)度確定所述待檢測文件的威脅程度。本發(fā)明可用于網(wǎng)絡(luò)安全應(yīng)用中。

技術(shù)領(lǐng)域

本發(fā)明涉及互聯(lián)網(wǎng)技術(shù)領(lǐng)域，尤其涉及一種文件檢測方法、裝置、電子設(shè)備及存儲介質(zhì)。

背景技術(shù)

當(dāng)今，互聯(lián)網(wǎng)連接著世界，用戶可以通過互聯(lián)網(wǎng)進(jìn)行各種信息交流和文件傳遞。然而，在信息交流便捷的同時，未知文件也會給用戶帶來巨大的安全隱患。

目前，對于文件安全性的判定大多基于黑白庫(包含云檢測)，文件哈希，靜態(tài)掃描等常用手段，這對于已存在于黑白庫中的文件的判定較為適合，但是對于未知文件的安全性判定，卻沒有準(zhǔn)確性和效率較高的檢測方法，常常需要大量的人工干預(yù)，檢測的準(zhǔn)確性和檢測效率較差。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明實(shí)施例提供一種文件檢測方法、裝置、電子設(shè)備及存儲介質(zhì)，能夠?qū)ξ粗募陌踩赃M(jìn)行較為準(zhǔn)確和高效的檢測。

第一方面，本發(fā)明實(shí)施例提供一種文件檢測方法，包括：將待檢測文件的文件屬性按照預(yù)設(shè)維度進(jìn)行維度特征統(tǒng)計(jì)；檢測統(tǒng)計(jì)出的所述待檢測文件的維度特征與文件畫像庫中安全性已知的文件的維度特征的總相關(guān)度；根據(jù)所述總相關(guān)度確定所述待檢測文件的威脅程度。

結(jié)合第一方面，在第一方面的第一種實(shí)施方式中，所述預(yù)設(shè)維度包括以下至少一種：時間屬性維度、物理屬性維度、運(yùn)行環(huán)境屬性維度、加密屬性維度；所述時間屬性維度包括文件的創(chuàng)建時間和/或修改時間；所述物理屬性維度包括：文件的鏡像位置、原始文件名、文件內(nèi)容哈希計(jì)算值；所述運(yùn)行環(huán)境屬性維度包括文件運(yùn)行的操作平臺和/或軟件環(huán)境；所述加密屬性維度包括以下至少一種：加殼類型，加密類型，混淆類型。

結(jié)合第一方面，在第一方面的第二種實(shí)施方式中，所述檢測統(tǒng)計(jì)出的所述待檢測文件的維度特征與文件畫像庫中安全性已知的文件的維度特征的總相關(guān)度包括：分別檢測所述預(yù)設(shè)維度中的每個維度上，所述待檢測文件的維度特征與安全性已知的文件的維度特征的分相關(guān)度；在任一所述分相關(guān)度大于第一分閾值的情況下，確定對應(yīng)的所述維度特征為一個相關(guān)維度特征；確定所述相關(guān)維度特征的數(shù)量在全部維度特征數(shù)量中的數(shù)量占比為所述總相關(guān)度。

結(jié)合第一方面或第一方面的第一或第二種實(shí)施方式，在第一方面的第三種實(shí)施方式中，所述根據(jù)所述總相關(guān)度確定所述待檢測文件的威脅程度包括：在所述總相關(guān)度大于第一閾值的情況下，根據(jù)所述安全性已知的文件的威脅程度及所述總相關(guān)度，確定所述待檢測文件的威脅程度。

結(jié)合第一方面或第一方面的第一或第二種實(shí)施方式，在第一方面的第四種實(shí)施方式中，所述根據(jù)所述總相關(guān)度確定所述待檢測文件的威脅程度包括：在所述總相關(guān)度小于或等于所述第一閾值的情況下，從所述安全性已知的文件中篩選出與所述待檢測文件的維度特征的總相關(guān)度大于第二閾值且小于或等于所述第一閾值的文件；其中，所述第二閾值小于所述第一閾值；利用所述待檢測文件的文件屬性與篩選出的所述文件的文件屬性進(jìn)行模型訓(xùn)練，以預(yù)測所述待檢測文件的威脅程度。

結(jié)合第一方面的第四種實(shí)施方式，在第一方面的第五種實(shí)施方式中，所述從所述安全性已知的文件中篩選出與所述待檢測文件的維度特征的總相關(guān)度大于第二閾值且小于或等于所述第一閾值的文件包括：分別確定所述預(yù)設(shè)維度中的每個維度上，所述待檢測文件的維度特征與安全性已知的文件的維度特征的分相關(guān)度；在任一所述分相關(guān)度大于第二分閾值的情況下，確定對應(yīng)的所述維度特征為一個相關(guān)維度特征；從所述安全性已知的文件中篩選出所述相關(guān)維度特征的數(shù)量在全部維度特征數(shù)量中的數(shù)量占比大于第二閾值且小于或等于所述第一閾值的文件。