[發明專利]勒索軟件的防御方法、裝置、存儲介質、處理器和主機

有效

• 申請號: 202010426631.5
• 申請日: 2020-05-19
• 公開（公告）號: CN111600893B
• 公開（公告）日: 2022-09-02
• 發明（設計）人: 王博;趙燁;王鏡清;楊升;邱麗麗
• 申請（專利權）人: 山石網科通信技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F21/56
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 霍文娟

本申請提供了一種勒索軟件的防御方法、裝置、存儲介質、處理器和主機，該勒索軟件的防御方法包括：獲取被測軟件的監控日志，監控日志用于記錄第一文件名稱和第二文件名稱，第一文件名稱為被測軟件創建文件的名稱，第二文件名稱為被測軟件刪除文件的名稱；獲取預定時間內第一文件名稱的數量以及第二文件名稱的數量；根據第一文件名稱、第二文件名稱、第一文件名稱的數量以及第二文件名稱的數量確定被測軟件是否為勒索軟件；在被測軟件是否為勒索軟件的情況下，阻斷被勒索軟件入侵的主機的網絡連接。相比于現有技術深度介入用戶環境且建立受保護存儲區的技術方案，上述防御方法實施難度低且部署簡單，適用于網絡安全方案中。

技術領域

本申請涉及網絡安全技術領域，具體而言，涉及一種勒索軟件的防御方法、裝置、存儲介質、處理器和主機。

背景技術

勒索軟件是一類入侵主機并進行文件加密、原文件刪除等破壞性行為的惡意代碼。在用戶重要文件被加密后，勒索軟件開發者會索要高額贖金，收到贖金后才會恢復被加密數據。

勒索軟件通常具有傳播性。如果內網主機存在安全漏洞，很容易造成勒索軟件從一臺被入侵的主機，擴散到整個網絡，導致大量主機被破壞的結果。及時檢測勒索軟件，提醒用戶，并隔離被勒索軟件感染的主機，避免勒索軟件大規模傳播是網絡安全領域用戶的重要需求。

部分加密文件型勒索軟件具有如下特點：勒索軟件爆發的時候，短時大量連續創建加密文件。同時刪除原文件，為了便于還原文件，只是在原文件的基礎上，增加一個不常見后綴名，且對于單個主機來說，后綴名稱相同。

在用戶主機中監控被測程序是否有對于用戶文件的操作行為。如有，則將該文件鏡像至受保護存儲區域，在該區域實施對于文件的操作，并記錄完整的操作信息，然后結合基于文件內容和操作行為分析的可疑性度量機制，判斷程序是否為勒索軟件。如果是，則刪除受保護區中的文件并清除程序。若不是惡意軟件，則根據受保護區中的文件進行文件的更新與同步，保證數據與正常情況下的一致性。

上述方案需要深度介入用戶環境，建立受保護存儲區，記錄完整的操作信息等，部署和實現復雜，用戶接受度低。

在背景技術部分中公開的以上信息只是用來加強對本文所描述技術的背景技術的理解，因此，背景技術中可能包含某些信息，這些信息對于本領域技術人員來說并未形成在本國已知的現有技術。

發明內容

本申請的主要目的在于提供一種勒索軟件的防御方法、裝置、存儲介質、處理器和主機，以解決現有技術中勒索軟件的防御方法實施難度高的問題。

根據本發明實施例的一個方面，提供了一種勒索軟件的防御方法，包括：獲取被測軟件的監控日志，所述監控日志用于記錄第一文件名稱和第二文件名稱，所述第一文件名稱為所述被測軟件創建文件的名稱，所述第二文件名稱為所述被測軟件刪除文件的名稱；獲取預定時間內所述第一文件名稱的數量以及所述第二文件名稱的數量；根據所述第一文件名稱、所述第二文件名稱、所述第一文件名稱的數量以及所述第二文件名稱的數量確定所述被測軟件是否為勒索軟件；在所述被測軟件是否為勒索軟件的情況下，阻斷被所述勒索軟件入侵的主機的網絡連接。

可選地，根據所述第一文件名稱、所述第二文件名稱、所述第一文件名稱的數量以及所述第二文件名稱的數量確定所述被測軟件是否為勒索軟件包括：確定所述預定時間內所述第一文件名稱的數量和所述第二文件名稱的數量是否均大于或者等于預定閾值；確定所述第一文件名稱是否包含對應的所述第二文件名稱，所述第一文件名稱與所述第二文件名稱一一對應；在所述預定時間內所述第一文件名稱的數量和所述第二文件名稱的數量均大于或者等于所述預定閾值且所述第一文件名稱包含對應的所述第二文件名稱的情況下，確定所述被測軟件為勒索軟件。

可選地，所述預定時間為3min～8min，所述預定閾值為8～15。