[發明專利]一種檢測勒索病毒的方法、裝置、系統和介質

在審

• 申請號: 202010219807.X
• 申請日: 2020-03-25
• 公開（公告）號: CN111444503A
• 公開（公告）日: 2020-07-24
• 發明（設計）人: 黃得雄
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

本發明實施例公開了一種檢測勒索病毒的方法、裝置、系統和介質，獲取用于記錄文件操作行為的流量日志。依據文件加密前和加密后的狀態信息預先設置病毒侵襲評分規則。按照該病毒侵襲評分規則，對流量日志進行評估，以得到流量日志對應的評分值。評分值反映了客戶端當前的操作行為與正常操作行為的偏離程度。若流量日志的評分值不滿足預設條件時，則判定流量日志所對應的客戶端被勒索病毒侵襲，并且判定流量日志所包含的文件屬于勒索病毒加密文件。在該技術方案中，依據流量日志所反映的客戶端的操作行為，對文件加密前后的狀態進行評估，可以不局限于已知類型的勒索病毒的檢測，有效的提升了勒索病毒檢測的準確性。

技術領域

本發明涉及安全管理技術領域，特別是涉及一種檢測勒索病毒的方法、裝置、系統和計算機可讀存儲介質。

背景技術

SMB(Server Message Block)是微軟(Miscrosoft)和英特爾(Intel)在1987年制定的通訊協議。通過該協議，客戶端應用程序可以在各種網絡環境下，遠程訪問服務端的文件，例如讀、寫文件等操作。

勒索病毒是一種新型的電腦病毒，主要通過郵件、程序木馬、網頁掛馬和系統漏洞的方式進行內外網傳播。這種病毒利用各種加密算法，對本地主機甚至包括遠程服務端上的文件進行加密，被加密文件一般無法自行解密，必須通過上交贖金換取密鑰才有可能解密文件。

目前勒索病毒檢測技術，主要依賴于已知類型的勒索病毒的特征提取，對已知類型的勒索病毒進行檢測，無法檢測未知類型勒索病毒的威脅，容易存在漏報，導致勒索病毒的檢測結果不準確。

可見，如何提升勒索病毒檢測的準確性，是本領域技術人員需要解決的問題。

發明內容

本發明實施例的目的是提供一種檢測勒索病毒的方法、裝置、系統和計算機可讀存儲介質，可以提升勒索病毒檢測的準確性。

為解決上述技術問題，本發明實施例提供一種檢測勒索病毒的方法，包括：

獲取用于記錄文件操作行為的流量日志；

按照預先設定的病毒侵襲評分規則，對所述流量日志進行評估，以得到所述流量日志對應的評分值；其中，所述病毒侵襲評分規則依據文件加密前及加密后的狀態信息設置；

若所述流量日志的評分值不滿足預設條件時，則判定所述流量日志所對應的客戶端被勒索病毒侵襲，并且判定所述流量日志所包含的文件屬于勒索病毒加密文件。

可選地，所述按照預先設定的病毒侵襲評分規則，對所述流量日志進行評估，以得到所述流量日志對應的評分值包括：

依據所述流量日志中記錄的文件操作行為，將所述流量日志中符合加密模式的文件數據作為第一數據集，不符合所述加密模式的文件數據作為第二數據集；其中，所述加密模式按照勒索病毒加密文件的操作行為預先設置；

按照預先設定的文件訪問規則，對所述第一數據集中包含的各文件數據進行評估，以得到所述流量日志對應的文件分數；

根據預先建立的解密提示信息特征庫，對所述第二數據集中包含的各文件數據進行匹配處理，以得到所述流量日志對應的匹配分數；

將所述文件分數和所述匹配分數進行加權求和，以得到所述流量日志對應的評分值。

可選地，所述根據預先建立的解密提示信息特征庫，對所述第二數據集中包含的各文件數據進行匹配處理，以得到所述流量日志對應的匹配分數包括：

依據所述第二數據集中各文件數據攜帶的數據信息，篩選出所述第二數據集中包含有解密文件標識的至少一個文件數據；

統計所有所述文件數據中與預先建立的解密提示信息特征庫相匹配的文件數目；

根據所述文件數目以及預先設定的分數值，得到所述流量日志對應的匹配分數。