[發(fā)明專利]主動防御中的規(guī)則匹配方法、裝置、設(shè)備和存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202210758812.7
• 申請日: 2022-06-29
• 公開（公告）號: CN115329325A
• 公開（公告）日: 2022-11-11
• 發(fā)明（設(shè)計(jì)）人: 文臣;付旻
• 申請（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;奇安信安全技術(shù)（珠海）有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F9/445
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 孟省

本發(fā)明實(shí)施例提供一種主動防御中的規(guī)則匹配方法、裝置、設(shè)備和存儲介質(zhì)。該方法包括：獲取操作事件對應(yīng)的規(guī)則；所述規(guī)則用于指示所述操作事件對應(yīng)的處理方式；確定所述操作事件對應(yīng)的規(guī)則中是否存在第一關(guān)鍵字；若存在所述第一關(guān)鍵字，則根據(jù)所述第一關(guān)鍵字調(diào)用對應(yīng)的第一插件對所述操作事件進(jìn)行處理，獲取所述第一插件的返回信息；根據(jù)所述第一插件的返回信息獲取匹配結(jié)果；所述匹配結(jié)果用于表示所述操作事件是否為危險(xiǎn)行為。上述方案中提高了以插件形式實(shí)現(xiàn)主動防御的匹配功能可以有效減輕代碼的耦合度，降低主框架代碼出問題的風(fēng)險(xiǎn)。

技術(shù)領(lǐng)域

本發(fā)明涉及計(jì)算機(jī)技術(shù)領(lǐng)域，尤其涉及一種主動防御中的規(guī)則匹 配方法、裝置、設(shè)備和存儲介質(zhì)。

背景技術(shù)

主動防御是基于程序行為自主分析判斷的實(shí)時(shí)防護(hù)技術(shù)，就是在 入侵行為對信息系統(tǒng)發(fā)生影響之前，能夠及時(shí)精準(zhǔn)預(yù)警，實(shí)時(shí)構(gòu)建彈 性防御體系，避免、轉(zhuǎn)移、降低信息系統(tǒng)面臨的風(fēng)險(xiǎn)。例如，大多數(shù) 殺毒軟件均具備主動防御的功能。未知的惡意代碼要在用戶機(jī)器上運(yùn) 行，須繞過殺毒軟件的主動防御。

相關(guān)技術(shù)中，通常利用代碼實(shí)現(xiàn)對行為的判斷以及處理，當(dāng)需要 添加新的功能以支持新的行為的判斷和處理，需要修改主框架代碼， 容易引入問題。

發(fā)明內(nèi)容

本發(fā)明實(shí)施例提供一種主動防御中的規(guī)則匹配方法、裝置、設(shè)備 和存儲介質(zhì)，以解決在添加支持新的行為的判斷和處理時(shí)容易引入問 題的技術(shù)問題。

具體地，本發(fā)明實(shí)施例提供了以下技術(shù)方案：

第一方面，本發(fā)明實(shí)施例提供了一種主動防御中的規(guī)則匹配方法， 包括：

獲取操作事件對應(yīng)的規(guī)則；所述規(guī)則用于指示所述操作事件對應(yīng) 的處理方式；

確定所述操作事件對應(yīng)的規(guī)則中是否存在第一關(guān)鍵字；

若存在所述第一關(guān)鍵字，則根據(jù)所述第一關(guān)鍵字調(diào)用對應(yīng)的第一 插件對所述操作事件進(jìn)行處理，獲取所述第一插件的返回信息；

根據(jù)所述第一插件的返回信息獲取匹配結(jié)果；所述匹配結(jié)果用于 表示所述操作事件是否為危險(xiǎn)行為。

可選地，所述根據(jù)所述第一關(guān)鍵字調(diào)用對應(yīng)的第一插件對所述操 作事件進(jìn)行處理，獲取所述第一插件的返回信息，包括：

根據(jù)所述第一關(guān)鍵字對應(yīng)的通用唯一識別碼UUID，獲取所述第 一插件的調(diào)用接口；

利用所述第一插件的調(diào)用接口，將所述操作事件輸入所述第一插 件，獲取所述第一插件的返回信息。

可選地，所述根據(jù)所述第一插件的返回信息獲取匹配結(jié)果，包括：

在所述第一插件的返回信息指示需要進(jìn)行常規(guī)匹配的情況下，對 所述操作事件進(jìn)行常規(guī)匹配，獲取匹配結(jié)果。

可選地，所述根據(jù)所述第一插件的返回信息獲取匹配結(jié)果之后， 還包括：

確定所述操作事件對應(yīng)的規(guī)則中是否存在第二關(guān)鍵字；

若存在所述第二關(guān)鍵字，則根據(jù)所述第二關(guān)鍵字調(diào)用對應(yīng)的第二 插件對所述操作事件進(jìn)行處理，獲取所述第二插件的返回信息；

根據(jù)所述第二插件的返回信息對所述匹配結(jié)果進(jìn)行修正，獲取修 正后的匹配結(jié)果。

可選地，所述根據(jù)所述第二關(guān)鍵字調(diào)用對應(yīng)的第二插件對所述操 作事件進(jìn)行處理，獲取所述第二插件的返回信息，包括：

根據(jù)所述第二關(guān)鍵字對應(yīng)的通用唯一識別碼UUID，獲取所述第 二插件的調(diào)用接口；

利用所述第二插件的調(diào)用接口，將所述操作事件輸入所述第二插 件，獲取所述第二插件的返回信息。

可選地，所述獲取操作事件對應(yīng)的規(guī)則，包括：