[發明專利]沙箱報告過濾方法和裝置

在審

• 申請號: 201810209007.2
• 申請日: 2018-03-14
• 公開（公告）號: CN109684827A
• 公開（公告）日: 2019-04-26
• 發明（設計）人: 楊晉
• 申請（專利權）人: 北京微步在線科技有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53
• 代理公司: 北京金信知識產權代理有限公司 11225
• 代理人: 黃威;喻嶸

1.一種沙箱報告過濾方法，其特征在于，包括：

在預設操作環境下運行樣本文件；

獲取運行該樣本文件時產生的第一信息；

基于預設準則對所述第一信息進行過濾處理，形成第二信息；

基于所述第二信息形成分析報告。

2.根據權利要求1所述的方法，其中，在預設操作環境下運行樣本文件之前還包括：

獲取樣本文件。

3.根據權利要求1所述的方法，其中，獲取運行該樣本文件時產生的第一信息包括下述至少一種：

獲取運行所述樣本文件時產生API調用記錄、截圖揭記錄以及網絡數據記錄；

檢測運行所述樣本文件時文件的刪除記錄、新建記錄和下載記錄；

獲取樣本文件的內存鏡像；

獲取運行樣本文件時系統全部內存鏡像。

4.根據權利要求1所述的方法，其中，基于預設準則對所述第一信息進行過濾處理，形成第二信息包括：

獲取所述樣本文件運行過程中的行為信息；

過濾所述行為信息中由于操作系統自身的網絡行為信息；

基于保留的由于樣本文件產生的網絡行為信息形成第二信息。

5.根據權利要求1所述的方法，其中，所述方法還包括：

在滿足預設條件時，存儲所述分析報告。

6.根據權利要求5所述的方法，其中，在滿足預設條件時，存儲所述分析報告包括：

判斷所述分析報告的容量是否小于預設閾值；

如是，則存儲所述分析報告。

7.根據權利要求6所述的方法，其中，在所述分析報告的容量大于預設閾值時，則刪除其中的無用數據再進行存儲。

8.一種沙箱報告過濾裝置，其包括：

處理器，其配置為在預設操作環境下運行樣本文件，并獲取運行該樣本文件時產生的第一信息；以及基于預設準則對所述第一信息進行過濾處理，形成第二信息，并基于所述第二信息形成分析報告。

9.根據權利要求8所述的裝置，其中，所述處理器進一步配置為在預設操作環境下運行樣本文件，并獲取運行該樣本文件時產生的第一信息；以及基于預設準則對所述第一信息進行過濾處理，形成第二信息，并基于所述第二信息形成分析報告。

10.根據權利要求8所述的裝置，其中，所述處理器進一步配置為獲取運行該樣本文件時產生的第一信息包括下述至少一種：

獲取運行所述樣本文件時產生API調用記錄、截圖揭記錄以及網絡數據記錄；

檢測運行所述樣本文件時文件的刪除記錄、新建記錄和下載記錄；

獲取樣本文件的內存鏡像；

獲取運行樣本文件時系統全部內存鏡像。