[發明專利]一種未知病毒檢測方法及系統

在審

• 申請號: 202110534740.3
• 申請日: 2021-05-17
• 公開（公告）號: CN113360904A
• 公開（公告）日: 2021-09-07
• 發明（設計）人: 毛菲;劉雋良;柳遵梁;王月兵;覃錦端
• 申請（專利權）人: 杭州美創科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 杭州杭誠專利事務所有限公司 33109
• 代理人: 劉正君

1.一種未知病毒檢測方法，其特征在于：包括以下步驟：

S1.各端點主機向服務器上傳主機數據，服務器生成各端點主機Hash數據集合；

S2.對主機數據進行共識機制判定，包括：

統計每個端點主機Hash數據集合中每一條Hash數據在其他端點主機Hash數據集合中出現的次數；根據次數判斷是否符合共識機制，將各端點主機Hash數據分配生成安全文件Hash集合和待定文件Hash集合；

S3.獲取待定文件Hash集合中Hash數據對應的各文件，進行異常行為判定，將異常文件對應Hash數據生成黑名單集合，將正常文件對應Hash數據加入安全文件Hash集合作為白名單集合，將黑名單集合和白名單集合下發到各端點主機；

S4.監控端點主機新增文件，將新增文件Hash數據與黑名單集合和白名單集合進行匹配，判斷病毒文件。

2.根據權利要求1所述的一種未知病毒檢測方法，其特征是步驟S1的具體過程包括：

S11.由各端點主機采集主機數據，主機數據包括主機文件對應的Hash數據集合T_Dx和端點主機代號T_x，其中x為端點主機數量；

S12.服務器接收到各端點主機上傳的Hash數據集合T_Dx和端點主機代號T_x后，進行文件Hash統計，生成各端點主機Hash數據集合{T_D1，T_D2，……，T_Dx}。

3.根據權利要求1所述的一種未知病毒檢測方法，其特征是步驟S2的具體過程包括：

S21.統計每個端點主機文件Hash數據集合中每一條Hash數據H_yDx在集合T_{except（Dx）}中出現的次數S_y，其中集合T_{except（Dx）}為除了Hash數據H_yDx所在Hash數據集合T_Dx外所有屬于端點主機文件Hash數據集合；

S22.獲得次數統計集合S_Dx{S₁，S₂，S₃，……，S_y}，進行共識比較計算W{(S_y，N)}，N為指定的閾值；

S23.將次數統計集合S_Dx{S₁，S₂，S₃，……，S_y}中每一個元素S_y與N做比較，

當S_y = N 時，則W{(S_y，N)} = 0，認為該Hash數據符合共識機制判定，對應文件安全，將S_y對應Hash數據H_yDx放入主機T_x安全文件Hash集合W_Dx；

當S_y N時，則W{(S_y ，N)} = 1，認為該Hash數據不符合共識機制判定，將S_y對應Hash數據H_yDx放入主機T_x待定文件Hash集合P_Dx；

S24.經過算法W后，各主機T_x對應Hash集合T_Dx被分為安全文件Hash集合W_Dx與待定文件Hash集合P_Dx兩個子集；

S25.統計主機群組T{T₁，T₂，……，T_x}全部安全文件Hash集合W{W_D1，W_D2，W_D3，……，W_Dx}，對{W_D1，W_D2，W_D3，……，W_Dx}中各集合元素進行去重，最終生成主機群組T{T₁，T₂，……，T_x}全部且唯一安全文件Hash集合W_all,統計主機群組T{T₁，T₂，……，T_x}全部待定文件Hash集合P{P_D1，P_D2，P_D3，……，P_Dx}，對{P_D1，P_D2，P_D3，……，P_Dx}中各集合元素進行去重，最終生成主機群組T{T₁，T₂，……，T_x}全部且唯一待定文件Hash集合P_all。