[發明專利]惡意文件的處理方法、裝置、系統、電子裝置和存儲介質

有效

• 申請號: 202110656274.6
• 申請日: 2021-06-11
• 公開（公告）號: CN113282928B
• 公開（公告）日: 2022-12-20
• 發明（設計）人: 金經南;范淵;楊勃
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F11/14;G06F16/906;G06K9/62
• 代理公司: 杭州華進聯浙知識產權代理有限公司 33250
• 代理人: 金無量

本申請涉及一種惡意文件的處理方法、裝置、系統、電子裝置和存儲介質，其中，該處理方法包括：獲取新增未知文件，并基于預設的特征數據庫生成分類器；在該新增未知文件的運行時間大于或等于預設時間的情況下，將該新增未知文件的行為特征信息以及該特征數據庫輸入至該分類器，并輸出第一分類結果；基于該第一分類結果檢測該新增未知文件是否屬于惡意文件；在檢測結果為該新增未知文件屬于該惡意文件的情況下，發送告警信息至終端設備以進行報警，并基于該新增未知文件更新該特征數據庫。通過本申請，解決了惡意文件的處理準確性低的問題，實現了基于行為特征信息的惡意文件處理方法。

技術領域

本申請涉及網絡安全技術領域，特別是涉及惡意文件的處理方法、裝置、系統、電子裝置和存儲介質。

背景技術

自互聯網的普及和發展過程中，具有毀壞系統、篡改文件、影響系統穩定與執行效率、竊取信息等的計算機惡意程序一直是計算機使用中的重要問題。這些惡意程序包括特洛伊木馬程序，勒索軟件，間諜程序等，它們可能對企業或用戶造成極大的危害或是極大的財產損失。因此，使用有效手段進行精確的惡意文件識別以及阻斷等處理，成為計算機安全防御的一個重點。

在相關技術中，一般是通過上傳下載的文件哈希值與數據庫內已有的惡意文件哈希信息進行比對，然后對惡意的文件進行阻攔或刪除的操作來防止惡意文件在服務器及個人電腦上運行。然而，相關技術中的惡意文件處理方法只能針對已知的惡意文件進行檢測和防御，無法有效識別未知惡意文件，且判斷方式單一，存在較高的漏報率和誤報率，導致惡意文件的處理準確性較低。

目前針對相關技術中惡意文件的處理準確性低的問題，尚未提出有效的解決方案。

發明內容

本申請實施例提供了一種惡意文件的處理方法、裝置、系統、電子裝置和存儲介質，以至少解決相關技術中惡意文件的處理準確性低的問題。

第一方面，本申請實施例提供了一種惡意文件的處理方法，所述方法包括：

獲取新增未知文件，并基于預設的特征數據庫生成分類器；

在所述新增未知文件的運行時間大于或等于預設時間的情況下，將所述新增未知文件的行為特征信息以及所述特征數據庫輸入至所述分類器，并輸出第一分類結果；

基于所述第一分類結果檢測所述新增未知文件是否屬于惡意文件；

在檢測結果為所述新增未知文件屬于所述惡意文件的情況下，發送告警信息至終端設備以進行報警，并基于所述新增未知文件更新所述特征數據庫。

在其中一些實施例中，所述基于所述第一分類結果檢測所述新增未知文件是否屬于惡意文件之后，所述方法還包括：

在所述檢測結果為所述新增未知文件屬于非惡意文件的情況下，將獲取到的所述新增未知文件運行時系統指標與預設閾值進行對比；

在對比結果為所述系統指標大于或等于所述預設閾值的情況下，檢測所述新增未知文件是否存在攻擊行為；

若檢測到所述新增未知文件存在所述攻擊行為，則重新檢測所述新增未知文件是否屬于所述惡意文件。

在其中一些實施例中，在所述基于預設的特征數據庫生成分類器之后，且在所述在檢測結果為所述惡意文件檢測成功的情況下，發送告警信息至終端以進行報警之前，所述方法還包括：

在所述新增未知文件的運行時間小于所述預設時間的情況下，將所述新增未知文件的文件哈希信息以及所述特征數據庫輸入至所述分類器，并輸出第二分類結果；

基于所述第二分類結果檢測所述新增未知文件是否屬于所述惡意文件。

在其中一些實施例中，所述在所述檢測結果為所述新增未知文件屬于所述惡意文件的情況下，所述方法還包括：