[發(fā)明專利]一種惡意代碼自動處置方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201711471900.4
• 申請日: 2017-12-29
• 公開（公告）號: CN109472142A
• 公開（公告）日: 2019-03-15
• 發(fā)明（設計）人: 王沛然;韓文奇;王小豐;肖新光
• 申請（專利權(quán)）人: 北京安天網(wǎng)絡安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種惡意代碼自動處置方法，其特征在于，包括：

捕獲網(wǎng)絡數(shù)據(jù)包，根據(jù)報文內(nèi)容對實體文件進行還原；

掃描還原的實體文件，判斷是否存在惡意樣本；

若存在惡意樣本，則對惡意樣本的危害等級和傳播方式進行判定；

根據(jù)危害等級和傳播方式，通過既定算法從處置方案庫中選擇響應的方法，并將響應方法傳送給網(wǎng)絡側(cè)和終端側(cè)設備。

2.如權(quán)利要求1所述的方法，其特征在于，所述若存在惡意樣本，則對惡意樣本的危害等級和傳播方式進行判定，具體為：若存在惡意樣本，則進一步判斷惡意樣本是否為已知；若為已知，則通過惡意樣本數(shù)據(jù)庫匹配獲取所述惡意樣本的危害等級和傳播方式；否則，對所述惡意樣本進行動靜態(tài)快速分析，得到其危害等級和傳播方式。

3.如權(quán)利要求1或2所述的方法，其特征在于，將響應方法傳送給網(wǎng)絡側(cè)和終端側(cè)設備后，若惡意樣本仍然繼續(xù)傳播，則從所述處置方案庫中重新選擇響應方法，并再次傳送給網(wǎng)絡側(cè)和終端側(cè)設備；若經(jīng)過規(guī)定時間后，惡意樣本的傳播依然沒有被控制，則向管理員發(fā)出報警信號。

4.如權(quán)利要求3所述的方法，其特征在于，將每次處置的過程信息及采取的響應方法動態(tài)加入處置方案庫，且對處置方案庫中的數(shù)據(jù)進行機器學習。

5.一種惡意代碼自動處置系統(tǒng)，其特征在于，包括：

流量還原模塊，用于捕獲網(wǎng)絡數(shù)據(jù)包，根據(jù)報文內(nèi)容對實體文件進行還原；

惡意判定模塊，用于掃描還原的實體文件，判斷是否存在惡意樣本；

綜合分析模塊，用于若存在惡意樣本，則對惡意樣本的危害等級和傳播方式進行判定；

方案下發(fā)模塊，用于根據(jù)危害等級和傳播方式，通過既定算法從處置方案庫中選擇響應的方法，并將響應方法傳送給網(wǎng)絡側(cè)和終端側(cè)設備。

6.如權(quán)利要求5所述的系統(tǒng)，其特征在于，所惡意判定模塊具體用于：若存在惡意樣本，則進一步判斷惡意樣本是否為已知；若為已知，則通過惡意樣本數(shù)據(jù)庫匹配獲取所述惡意樣本的危害等級和傳播方式；否則，對所述惡意樣本進行動靜態(tài)快速分析，得到其危害等級和傳播方式。

7.如權(quán)利要求5或6所述的系統(tǒng)，其特征在于，將響應方法傳送給網(wǎng)絡側(cè)和終端側(cè)設備后，若惡意樣本仍然繼續(xù)傳播，則重新調(diào)用方案下發(fā)模塊，從所述處置方案庫中重新選擇響應方法，并再次傳送給網(wǎng)絡側(cè)和終端側(cè)設備；若經(jīng)過規(guī)定時間后，惡意樣本的傳播依然沒有被控制，則向管理員發(fā)出報警信號。

8.如權(quán)利要求7所述的系統(tǒng)，其特征在于，將每次處置的過程信息及采取的響應方法動態(tài)加入處置方案庫，且對處置方案庫中的數(shù)據(jù)進行機器學習。

9.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執(zhí)行所述程序時實現(xiàn)如權(quán)利要求1-4任一所述的自動處置方法。

10.一種計算機可讀存儲介質(zhì)，用于存儲計算機程序，其特征在于，所述計算機程序可被處理器執(zhí)行如權(quán)利要求1-4任一所述的自動處置方法。