[發(fā)明專利]一種惡意代理軟件檢測的方法及其系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202110998041.4
• 申請日: 2021-08-27
• 公開（公告）號: CN113672927A
• 公開（公告）日: 2021-11-19
• 發(fā)明（設(shè)計）人: 王月兵;劉雋良;柳遵梁;覃錦端;毛菲
• 申請（專利權(quán)）人: 杭州美創(chuàng)科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/55
• 代理公司: 杭州知學(xué)知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 33356
• 代理人: 張雯

1.一種惡意代理軟件檢測的方法，其特征在于，包括：

對系統(tǒng)目錄和文件進行監(jiān)控，記錄新增文件以及服務(wù)器進出口流量；

對所述新增文件提取靜態(tài)文件特征；

將所述靜態(tài)文件特征與靜態(tài)惡意特征庫進行匹配，以得到靜態(tài)匹配結(jié)果；

當(dāng)執(zhí)行所述新增文件時，提取所述新增文件的動態(tài)特征；

將所述動態(tài)特征與動態(tài)惡意特征庫進行匹配，以得到動態(tài)匹配結(jié)果；

獲取所述新增文件被執(zhí)行后產(chǎn)生連接的服務(wù)器IP，且對所述服務(wù)器IP進行網(wǎng)絡(luò)連接白名單的匹配，以得到名單匹配結(jié)果；

獲取所述新增文件被執(zhí)行后的服務(wù)器進出口流量，并根據(jù)所述服務(wù)器進出口流量進行閾值判斷，以得到判斷結(jié)果；

根據(jù)所述靜態(tài)匹配結(jié)果、動態(tài)匹配結(jié)果、名單匹配結(jié)果以及判斷結(jié)果確定所述新增文件是否是惡意代理軟件，并進行異常告警。

2.根據(jù)權(quán)利要求1所述的一種惡意代理軟件檢測的方法，其特征在于，所述對系統(tǒng)目錄和文件進行監(jiān)控，記錄新增文件以及服務(wù)器進出口流量，包括：

通過agent軟件對系統(tǒng)目錄和文件進行監(jiān)控，記錄新增文件以及服務(wù)器進出口流量；

分析系統(tǒng)的網(wǎng)絡(luò)流量特征，學(xué)習(xí)生成網(wǎng)絡(luò)連接白名單；

分析系統(tǒng)的網(wǎng)絡(luò)流量特征，以生成服務(wù)器正常運行時的流量閾值范圍；

分析所述服務(wù)器文件情況，以獲取新增文件所在的文件路徑。

3.根據(jù)權(quán)利要求1所述的一種惡意代理軟件檢測的方法，其特征在于，所述對所述新增文件提取靜態(tài)文件特征，包括：

對所述新增文件所在的文件路徑進行計算靜態(tài)文件特征。

4.根據(jù)權(quán)利要求1所述的一種惡意代理軟件檢測的方法，其特征在于，所述將所述靜態(tài)文件特征與靜態(tài)惡意特征庫進行匹配，以得到靜態(tài)匹配結(jié)果，包括:

判斷所述靜態(tài)文件特征是否是靜態(tài)惡意特征庫所包括的特征；

若所述靜態(tài)文件特征是靜態(tài)惡意特征庫所包括的特征，則確定所述新增文件為惡意代理軟件，以得到靜態(tài)匹配結(jié)果；

若所述靜態(tài)文件特征不是靜態(tài)惡意特征庫所包括的特征，則執(zhí)行所述當(dāng)執(zhí)行所述新增文件時，提取所述新增文件的動態(tài)特征。

5.根據(jù)權(quán)利要求1所述的一種惡意代理軟件檢測的方法，其特征在于，所述動態(tài)特征包括所述新增文件被執(zhí)行后所述連接的服務(wù)器IP以及域名。

6.根據(jù)權(quán)利要求5所述的一種惡意代理軟件檢測的方法，其特征在于，所述將所述動態(tài)特征與動態(tài)惡意特征庫進行匹配，以得到動態(tài)匹配結(jié)果，包括：

判斷所述動態(tài)特征是否是動態(tài)惡意特征庫所包含的特征；

若所述動態(tài)特征是動態(tài)惡意特征庫所包含的特征，則確定所述新增文件為惡意代理軟件，以得到動態(tài)匹配結(jié)果；

若所述動態(tài)特征不是動態(tài)惡意特征庫所包含的特征，則執(zhí)行所述獲取所述新增文件被執(zhí)行后產(chǎn)生連接的服務(wù)器IP，且對所述服務(wù)器IP進行網(wǎng)絡(luò)連接白名單的匹配，以得到名單匹配結(jié)果。

7.根據(jù)權(quán)利要求2所述的一種惡意代理軟件檢測的方法，其特征在于，所述獲取所述新增文件被執(zhí)行后產(chǎn)生連接的服務(wù)器IP，且對所述服務(wù)器IP進行網(wǎng)絡(luò)連接白名單的匹配，以得到名單匹配結(jié)果，包括：

獲取所述新增文件被執(zhí)行后產(chǎn)生連接的服務(wù)器IP；

判斷所述服務(wù)器IP與所述網(wǎng)絡(luò)連接白名單是否符合設(shè)定條件；

若所述服務(wù)器IP與所述網(wǎng)絡(luò)連接白名單符合設(shè)定條件，則確定所述新增文件為惡意代理軟件，以得到名單匹配結(jié)果；

若所述服務(wù)器IP與所述網(wǎng)絡(luò)連接白名單不符合設(shè)定條件，則執(zhí)行所述獲取所述新增文件被執(zhí)行后的服務(wù)器進出口流量，并根據(jù)所述服務(wù)器進出口流量進行閾值判斷，以得到判斷結(jié)果；

其中，設(shè)定條件為超過一定數(shù)量的服務(wù)器IP不屬于所述網(wǎng)絡(luò)連接白名單所包括的服務(wù)器IP。