[發(fā)明專利]一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201810985819.6
• 申請(qǐng)日: 2018-08-27
• 公開（公告）號(hào): CN109254827B
• 公開（公告）日: 2022-04-22
• 發(fā)明（設(shè)計(jì)）人: 代琪怡;李松林;李平陽(yáng);謝開林;章志輝;廖西;顏琪;李茂毅;蔡波
• 申請(qǐng)（專利權(quán)）人: 電子科技大學(xué)成都學(xué)院
• 主分類號(hào): G06F9/455
• 分類號(hào): G06F9/455;G06F21/56
• 代理公司: 成都弘毅天承知識(shí)產(chǎn)權(quán)代理有限公司 51230
• 代理人: 馬林中

1.一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：包括以下步驟：

步驟1：從虛擬機(jī)的虛擬磁盤內(nèi)提取NTFS文件系統(tǒng)里面的普通文件和瀏覽器文件；

步驟2：識(shí)別普通文件中的惡意特征，將識(shí)別的惡意特征與惡意文件特征庫(kù)中的特征進(jìn)行比對(duì)，判斷該文件是否為惡意文件，若為惡意文件則進(jìn)行清理并跳轉(zhuǎn)至步驟3，否則直接跳轉(zhuǎn)至步驟3；

步驟3：提取所述瀏覽器文件中的網(wǎng)址，利用構(gòu)建的機(jī)器學(xué)習(xí)模型判斷所述網(wǎng)址是否為惡意網(wǎng)址，若為惡意網(wǎng)址，則清理所述惡意網(wǎng)址并結(jié)束流程，否則直接結(jié)束流程；

所述步驟3中，判斷網(wǎng)址是否為惡意網(wǎng)址的具體步驟如下：

步驟31：利用爬蟲技術(shù)收集大量網(wǎng)站信息，并對(duì)網(wǎng)站的網(wǎng)址進(jìn)行拆分，將拆分后的網(wǎng)址作為訓(xùn)練樣本；

步驟32：利用拆分后的網(wǎng)址形成網(wǎng)址線性表，對(duì)所述網(wǎng)址線性表采用tf-idf算法進(jìn)行加權(quán)處理，得到網(wǎng)址中各個(gè)分詞的權(quán)重，形成權(quán)重線性表；

步驟33：構(gòu)建機(jī)器學(xué)習(xí)模型，對(duì)所述訓(xùn)練樣本的權(quán)重線性表，采用邏輯回歸算法，進(jìn)行機(jī)器學(xué)習(xí)訓(xùn)練，得到訓(xùn)練后的機(jī)器學(xué)習(xí)模型；

步驟34：將待識(shí)別網(wǎng)址進(jìn)行與步驟31相同的拆分處理和與步驟32中相同的加權(quán)處理，得到待識(shí)別網(wǎng)址的權(quán)重線性表，將待識(shí)別網(wǎng)址的權(quán)重線性表輸入訓(xùn)練后的機(jī)器學(xué)習(xí)模型，得出識(shí)別結(jié)果。

2.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述步驟1中，NTFS文件系統(tǒng)里的普通文件包括exe文件和office文件。

3.根據(jù)權(quán)利要求2所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述步驟1中，NTFS文件系統(tǒng)里的普通文件和瀏覽器文件的獲取步驟如下：

步驟11：獲取所述虛擬機(jī)的虛擬磁盤句柄并初始化所述磁盤句柄；

步驟12：利用所述磁盤句柄獲取所述NTFS文件系統(tǒng)里的起始扇區(qū)并獲得所述NTFS文件系統(tǒng)里的MTF文件記錄表；

步驟13：遍歷所述MTF文件記錄表中的文件記錄號(hào)；

步驟14：利用所述文件記錄號(hào)進(jìn)行普通文件和瀏覽器文件的提取。

4.根據(jù)權(quán)利要求3所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述步驟14中，NTFS文件系統(tǒng)里的普通文件獲取方法為：讀取所述文件記錄號(hào)下文件的H30屬性值，利用所述H30屬性值判斷普通文件的類型，若文件為小型文件，則在該文件的H80屬性中提取文件數(shù)據(jù)；若文件為大型文件，則在該文件的H80屬性中提取該文件的數(shù)據(jù)流地址，利用所述數(shù)據(jù)流地址提取文件數(shù)據(jù)。

5.根據(jù)權(quán)利要求3所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述步驟14中，瀏覽器文件的獲取步驟為：

步驟141：讀取所述文件記錄號(hào)下瀏覽器文件的H30屬性，利用所述H30屬性判斷該文件記錄號(hào)下文件路徑是否與瀏覽器對(duì)應(yīng)的路徑匹配，若匹配，則跳轉(zhuǎn)至步驟142，否則跳轉(zhuǎn)至步驟13；

步驟142：判斷是否取出當(dāng)前文件記錄號(hào)下的所有瀏覽器文件，若是，則跳轉(zhuǎn)至步驟143，否則根據(jù)瀏覽器文件的H80屬性找到瀏覽器文件數(shù)據(jù)并提??；

步驟143：判斷該瀏覽器文件的屬性，若為HA0屬性，則提取HA0屬性地址，并利用HA0屬性地址找到瀏覽器文件數(shù)據(jù)并提取；若為H90屬性，則遍歷H90屬性中的H90索引，利用所述H90索引找到瀏覽器文件數(shù)據(jù)并提取。

6.根據(jù)權(quán)利要求2所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述普通文件中還包括注冊(cè)表文件，所述注冊(cè)表文件中鍵值信息用于輔助惡意文件的判斷。

7.根據(jù)權(quán)利要求1所述的一種基于大數(shù)據(jù)與機(jī)器學(xué)習(xí)的虛擬機(jī)安全防護(hù)方法，其特征在于：所述步驟2中所述惡意特征包括：

病毒的MD5、SHA1、SHA256獨(dú)有簽名；或

文件反匯編后的代碼段特征；或

文件的api流程圖的特征；或

Api出現(xiàn)的頻率的特征。