[發(fā)明專利]基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法

有效

• 申請?zhí)枺?/td>: 202110817175.1
• 申請日: 2021-07-20
• 公開（公告）號: CN113343241B
• 公開（公告）日: 2023-04-11
• 發(fā)明（設計）人: 苗功勛;劉志遠;徐留杰;張海文;曲志峰;韋文峰
• 申請（專利權）人: 南京中孚信息技術有限公司;中孚安全技術有限公司;中孚信息股份有限公司;北京中孚泰和科技發(fā)展股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，包括以下步驟：

S1：輸入ioc，通過檢測引擎判斷文件是否為hash；

S2：文件為hash，生成hash標簽，生成方法包括：

S21：掃描平臺內各個檢測引擎的版本和更新時間，即利用網(wǎng)絡爬蟲和平臺接口動態(tài)獲取，計算得出最近分析時間與檢測引擎更新時間的時間差作為每個檢測引擎的時間特征；

S22：獲取掃描平臺的各個檢測引擎的掃描結果；

S23：合并關聯(lián)檢測引擎結果；

S24：對多個文件hash的掃描結果進行聚合；

S25：設置標簽權重計算器，計算權重；

S26：構建惡意hash標簽映射關系；

S27：生成hash標簽；

S3：文件不為hash，繼續(xù)順位檢測文件是否為ip、domain、url；

S4：文件為ip、domain、url的其中一種，繼續(xù)判斷是否存在關聯(lián)hash；

S5：存在關聯(lián)hash則通過S2中方法，生成hash標簽；

S6：不存在關聯(lián)hash則進行摘要提取，分別聚合生成對應的ip標簽、domain標簽、url標簽，具體步驟如下：

S61：設置黑名單摘要采集器；

S62：構建專屬標簽詞庫；

S63：設置摘要分詞器；

S64：設置標簽生成器；

S65：設置關聯(lián)文件采集器；

S66：設置標簽聚合裝置；

所述S22中，掃描平臺的各個檢測引擎的掃描結果通過平臺接口和網(wǎng)絡爬蟲獲取；

所述S25中，設置標簽權重計算器具體為：每一個檢測引擎的檢測結果初始權重都為1，每重復一次則權重加1，將得到的檢測引擎關聯(lián)列表合并只作為一條結果，同時根據(jù)得到的檢測引擎的時間特征對權重分進行增減，引擎的時間特征每超過半年則減0.5分，超過一年則該檢測結果失效，最終得到帶有權重的檢測結果。

2.根據(jù)權利要求1所述的基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，其特征在于：所述S24中，對多個文件hash的掃描結果進行聚合具體為：整理得到每次掃描結果都相同的檢測引擎列表和對應的版本，對多個文件hash的掃描結果進行聚合，生成檢測引擎關聯(lián)列表。

3.根據(jù)權利要求1所述的基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，其特征在于：所述S26中，構建惡意hash標簽映射關系具體為：通過映射關系列表將每個檢測引擎對于惡意軟件的相似標簽合并成固定的標簽，選取最新一次的檢測結果生成hash標簽，同時將歷史的檢測結果標記為無效。

4.根據(jù)權利要求1所述的基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，其特征在于：所述S61中，設置黑名單摘要采集器用于采集惡意ip、url、domain黑名單的摘要。

5.根據(jù)權利要求1所述的基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，其特征在于：所述S62中，構建專屬標簽詞庫的獲取來源是國家網(wǎng)絡安全官網(wǎng)公布的威脅情報標準中的各個指示器的惡意類型列表，包括中英文的標簽，構建專屬標簽詞庫。

6.根據(jù)權利要求1所述的基于在線惡意軟件掃描平臺的動態(tài)標簽生成方法，其特征在于：所述S63中，設置摘要分詞器是利用Jieba算法結合所構建的專屬標簽詞庫對黑名單摘要進行分詞處理，得到詞組；所述S64中，設置標簽生成器是對得到的詞組與專屬標簽詞庫進行匹配，生成對應的標簽；所述S65中，設置關聯(lián)文件采集器是通過平臺的relation接口和網(wǎng)絡爬蟲獲取關聯(lián)文件的hash；所述S66中，設置標簽聚合裝置是根據(jù)關聯(lián)文件采集器獲取的文件hash結合針對惡意文件hash生成的標簽再聚合生成的專屬標簽，隨著關聯(lián)關系的變化動態(tài)分別生成ip標簽、domain標簽、url標簽。