[發明專利]樣本程序惡意程度自動識別方法及裝置

有效

• 申請號: 202010143686.5
• 申請日: 2020-03-04
• 公開（公告）號: CN111460445B
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 向靈孜;白敏;汪列軍
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 苗曉靜

1.一種樣本程序惡意程度自動識別方法，其特征在于，包括：

獲取樣本程序；

對所述樣本程序進行靜態分析，獲取靜態分析結果；

對所述樣本程序進行動態分析，獲取動態分析結果；

基于所述靜態分析結果和/或所述動態分析結果，對所述樣本程序進行情報分析，獲取情報分析結果；

根據所述靜態分析結果、所述動態分析結果和所述情報分析結果，確定所述樣本程序的惡意程度；

所述根據所述靜態分析結果、所述動態分析結果和所述情報分析結果，確定所述樣本程序的惡意程度，包括：

根據所述靜態分析結果，按照第一分值確定標準，確定靜態分析結果分值；

根據所述動態分析結果，按照第二分值確定標準，確定動態分析結果分值；

根據所述情報分析結果，按照第三分值確定標準，確定情報分析結果分值；

根據預設權重系數，對所述靜態分析結果分值、所述動態分析結果分值和所述情報分析結果分值進行加權求和，確定所述樣本程序的惡意程度。

2.根據權利要求1所述的樣本程序惡意程度自動識別方法，其特征在于，對所述樣本程序進行靜態分析，獲取靜態分析結果，具體包括：

采用至少一種靜態分析方法對所述樣本程序進行靜態分析，獲取所述樣本程序的靜態分析結果；其中，所述靜態分析結果包括惡意類型和/或惡意家族類型。

3.根據權利要求1所述的樣本程序惡意程度自動識別方法，其特征在于，對所述樣本程序進行動態分析，獲取動態分析結果，具體包括：

在系統、沙箱或虛擬機中運行所述樣本程序，獲取所述樣本程序在運行過程中產生的動態行為特征；其中，所述動態行為特征包括：主機行為、網絡行為、衍生文件和開機自啟動項中的一種或多種；

根據所述動態行為特征以及預設的規則庫，獲取動態分析結果；其中，所述動態分析結果包括：是否包含非法主機行為、可疑網絡行為、可疑衍生文件和非法開機自啟動項中的一種或多種。

4.根據權利要求3所述的樣本程序惡意程度自動識別方法，其特征在于，基于所述靜態分析結果和/或所述動態分析結果，對所述樣本程序進行情報分析，獲取情報分析結果，具體包括：

基于所述樣本程序在進行動態分析中產生的可疑網絡行為，根據所述可疑網絡行為確定與所述可疑網絡行為匹配的攻陷指標IOC信息，并將所述攻陷指標IOC信息與失陷檢測情報進行匹配，獲取失陷檢測情報匹配結果；

基于所述樣本程序在進行動態分析中產生的衍生文件，將所述衍生文件的哈希值與文件信譽情報進行匹配，獲取文件信譽情報匹配結果；

基于所述樣本程序在進行靜態分析中確定的惡意家族類型，將所述惡意家族類型與惡意家族情報進行匹配，獲取惡意家族情報匹配結果；

根據所述失陷檢測情報匹配結果、文件信譽情報匹配結果和惡意家族情報匹配結果中的一種或多種，確定情報分析結果。

5.根據權利要求4所述的樣本程序惡意程度自動識別方法，其特征在于，根據所述靜態分析結果、所述動態分析結果和所述情報分析結果，確定所述樣本程序的惡意程度，具體包括：

根據所述靜態分析結果中包括的惡意類型和/或惡意家族類型，按照第一分值確定標準，確定靜態分析結果分值；

根據所述動態分析結果中包括的非法主機行為、可疑網絡行為、可疑衍生文件和非法開機自啟動項中的一種或多種，按照第二分值確定標準，確定動態分析結果分值；

根據所述情報分析結果中包括的失陷檢測情報匹配結果、文件信譽情報匹配結果和惡意家族情報匹配結果中的一種或多種，按照第三分值確定標準，確定情報分析結果分值；

根據預設權重系數，對所述靜態分析結果分值、所述動態分析結果分值和所述情報分析結果分值進行加權求和，確定所述樣本程序的惡意程度。