[發明專利]對云驅動器文件夾上勒索軟件攻擊的補救

有效

• 申請號: 201780043869.6
• 申請日: 2017-07-05
• 公開（公告）號: CN109478220B
• 公開（公告）日: 2022-03-29
• 發明（設計）人: E·艾瓦尼;C·拉哈夫;G·塔米爾
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華

1.一種系統，包括：

至少一個處理器和存儲器；

其中所述至少一個處理器被配置為：

標識被存儲在云服務上的客戶端設備的至少一個文件，所述至少一個文件先前已經被更改；

使用機器學習技術來確定對所述至少一個文件的先前更改是惡意的；

確定第一類型的惡意軟件被用來進行對所述至少一個文件的所述先前更改；以及

基于所述第一類型的惡意軟件進行了所述先前更改的確定，生成用以抑制所述至少一個文件與所述云服務的同步的一個或多個指令。

2.根據權利要求1所述的系統，其中所述至少一個處理器進一步被配置為：

執行對策，以將所述至少一個文件恢復到所述至少一個文件的先前版本。

3.根據權利要求1所述的系統，其中所述至少一個文件是蜜罐文件。

4.根據權利要求1所述的系統，其中所述第一類型的惡意軟件被用來對所述至少一個文件進行所述先前更改的確定由在所述客戶端設備上執行的組件執行。

5.根據權利要求1所述的系統，其中所述第一類型的惡意軟件被用來對所述至少一個文件進行所述先前更改的確定由所述云服務的組件執行。

6.根據權利要求1所述的系統，其中所述第一類型的惡意軟件被用來對所述至少一個文件進行所述先前更改的確定由與所述云服務接口連接的惡意軟件檢測系統執行。

7.根據權利要求1所述的系統，其中所述機器學習技術是被訓練以檢測惡意更改的分類器。

8.根據權利要求1所述的系統，其中所述至少一個處理器進一步被配置為：

當對所述至少一個文件的所述先前更改被確定為是惡意的時，請求用戶確認所述先前更改是否是惡意的。

9.根據權利要求1所述的系統，其中所述至少一個處理器進一步被配置為：

將與所述先前更改有關的信息連同標簽一起進行存儲，以用于訓練所述機器學習技術，所述標簽指示由用戶確認的所述先前更改是否是惡意的。

10.一種設備，包括：

一個或多個處理器和存儲器；

其中所述一個或多個處理器執行動作，所述動作：

通過在接收到標識文件的文件事件通知時檢索所述文件并且提取與所述文件和所述文件事件通知有關的特征來處理文件事件通知，其中所述文件被存儲在第一計算設備上和云服務中；

使用機器語言分類器來確定所述文件在所述第一計算設備上被惡意更改；以及

基于確定第一類型的惡意軟件進行了先前更改，生成用以抑制所述文件與所述云服務的同步的一個或多個指令。

11.根據權利要求10所述的設備，其中所述一個或多個處理器執行進一步的動作，所述動作：

接收來自至少一個用戶的所述更改是惡意的至少一個確認，將所提取的所述特征標記為惡意的，以及使用經標記的所提取的所述特征來訓練所述分類器。

12.根據權利要求10所述的設備，其中機器學習技術采用實時分類器和批量分類器，所述實時分類器指示在對所述文件的更改被檢測到時所述更改是惡意的，所述批量分類器通過在更改時間窗口期間發生的對一個或多個文件的更改的評估來指示對所述文件的所述更改是惡意的。

13.根據權利要求12所述的設備，其中所述實時分類器被提供有僅源自所述文件的當前版本和所述文件的最近的先前版本的特征。

14.根據權利要求10所述的設備，其中所述設備在所述云服務的內部。

15.根據權利要求10所述的設備，其中所述一個或多個處理器執行動作，所述動作：

處理對策，以壓制所述文件的傳播。