[發明專利]文件檢測方法、可讀存儲介質及電子設備

有效

• 申請號: 202310847689.0
• 申請日: 2023-07-12
• 公開（公告）號: CN116578537B
• 公開（公告）日: 2023-09-22
• 發明（設計）人: 呂經祥;李石磊;肖新光
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: G06F16/16
• 分類號: G06F16/16;G06F21/56
• 代理公司: 北京鍾維聯合知識產權代理有限公司 11579
• 代理人: 謝沙沙

本申請提供了一種文件檢測方法、可讀存儲介質及電子設備，涉及文件檢測領域，該方法包括：獲取待檢測文件；根據若干段結構化數據，獲取待檢測文件對應的結構化輪廓特征信息；根據結構化輪廓特征信息和第一預設檢測方法，確定待檢測文件為惡意文件的概率是否大于預設概率閾值；若是，則基于第二預設檢測方法，對若干段結構化數據的內容進行處理，以確定待檢測文件是否為惡意文件。本申請中，對于經過第一檢測算法后的待檢測文件，如果待檢測文件為惡意文件的概率小于預設概率閾值，則說明待檢測文件不為惡意文件，則不進行耗費計算機資源更多、算力更高的第二檢測算法，節約了計算機資源。

背景技術

現有技術中在對未知文件進行檢測時，是對未知文件中的結構化數據進行裁剪并拼接，生成新文件，進而直接對新文件的內容進行檢測，需要的算力較大。

所以，如何能夠利用較小的算力完成對未知文件的檢測，確定未知文件是否為惡意文件是目前亟需解決的技術問題。

發明內容

有鑒于此，本申請提供一種文件檢測方法、可讀存儲介質及電子設備，至少部分解決現有技術中存在的技術問題，本申請采用的技術方案為：

根據本申請的第一個方面，提供一種文件檢測方法，包括：

獲取待檢測文件；其中，待檢測文件中包括若干段結構化數據和若干段非結構化數據；結構化數據和非結構化數據交替排列；

根據若干段結構化數據，獲取待檢測文件對應的結構化輪廓特征信息；結構化輪廓特征信息包括若干段結構化數據的段數，以及每一段結構化數據的起始地址和長度；

根據結構化輪廓特征信息和第一預設檢測方法，確定待檢測文件為惡意文件的概率是否大于預設概率閾值；

若是，則基于第二預設檢測方法，對若干段結構化數據的內容進行處理，以確定待檢測文件是否為惡意文件；其中，實施第二預設檢測方法所需要的計算機資源大于實施第一預設檢測方法所需要的計算機資源。

在本申請的一種示例性實施例中，結構化輪廓特征信息為A=（a,DA1,LA1,DA2,LA2,...,DAb,LAb,...,DAa,LAa）,b=1,2,...，a；其中，a為結構化數據的段數，DAb為第b段結構化數據的起始地址，LAb為第b段結構化數據的長度。

在本申請的一種示例性實施例中，根據結構化輪廓特征信息和第一預設檢測方法，確定待檢測文件為惡意文件的概率是否大于預設概率閾值，包括：

根據預設結構化輪廓特征信息集B=（B1,B2,...,Bc,...,Bd）,獲取結構化輪廓匹配度集C=（C1,C2,...,Cc,...,Cd），c=1,2,...,d；其中，d為預設結構化輪廓特征信息的數量；Bc為第c個預設結構化輪廓特征信息；Cc為A與Bc的匹配度；

若Cc大于預設匹配度閾值，則確定待檢測文件為惡意文件的概率大于預設概率閾值。

在本申請的一種示例性實施例中，根據結構化輪廓特征信息和第一預設檢測方法，確定待檢測文件為惡意文件的概率是否大于預設概率閾值，包括：

獲取A的哈希值AD；

若AD和預設結構化輪廓特征哈希值集D=（D1,D2,...,De,...,Df）中的De相同，則確定待檢測文件為惡意文件的概率大于預設概率閾值；其中，e=1,2,...,f，f為預設結構化輪廓特征哈希值的數量，De為第e個預設結構化輪廓特征哈希值。

在本申請的一種示例性實施例中，在獲取待檢測文件之后，文件檢測方法還包括：

根據若干段非結構化數據，獲取待檢測文件對應的非結構化輪廓特征信息；非結構化輪廓特征信息包括若干段非結構化數據的段數，以及每一段非結構化數據的起始地址和長度；