[發明專利]基于模型的惡意文件檢測方法及裝置

有效

• 申請號: 202010151740.0
• 申請日: 2020-03-06
• 公開（公告）號: CN111460446B
• 公開（公告）日: 2023-04-11
• 發明（設計）人: 白皓文;白敏;劉爽;白子潘;汪列軍;潘博文;衛福龍
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王宇楊

本發明實施例提供一種基于模型的惡意文件檢測方法及裝置；方法包括：獲取待檢測文件；分析所述待檢測文件，得到所述待檢測文件的特征信息；將所述待檢測文件的特征信息輸入預先構建的惡意家族檢測模型，獲取待檢測文件是否屬于某一惡意家族以及相應置信度的第一檢測結果。本發明實施例提供的基于模型的惡意文件檢測方法及裝置通過對多種類型的待檢測文件進行分析，從待檢測文件中提取了多種維度、類型豐富的特征信息，將這些特征信息輸入惡意家族檢測模型，實現了對待檢測文件是否屬于某一類型的惡意家族的檢測。

技術領域

本發明涉及網絡安全領域，尤其涉及一種基于模型的惡意文件檢測方法及裝置。

背景技術

隨著電腦、移動智能終端等智能設備的大規模普及，一些組織或個人在電子文件中添加特定目的的惡意代碼，以竊取用戶的信息、資金，或達到其他不可告人的目的。這些攜帶有惡意代碼的電子文件也被稱為惡意文件。近年來，惡意文件的數量呈現爆發性增長，對惡意文件的及時檢測已經成為網絡安全分析人員以及運營人員面臨的首要問題。

現有技術中的惡意文件檢測方法主要通過對待檢測的樣本文件的靜態信息進行分析，根據分析結果來判斷樣本文件是否為惡意文件。此類惡意文件檢測方法由于在檢測時所基于的信息具有局限性，因此惡意文件的檢測結果準確度不高且檢測效率也較低。

發明內容

本發明實施例提供一種基于模型的惡意文件檢測方法及裝置，用以解決現有技術中的惡意文件檢測方法檢測結果準確度不高且檢測效率較低的缺陷。

本發明第一方面實施例提供一種基于模型的惡意文件檢測方法，包括：

獲取待檢測文件；

分析所述待檢測文件，得到所述待檢測文件的特征信息；其中，所述特征信息包括待檢測文件所包含的各個層級中每一層級的子文件的動態行為信息與靜態文件信息，以及待檢測文件所包含所有層級中各子文件的層級關系；所述動態行為信息是子文件在被執行過程中產生的信息，所述靜態文件信息是采用靜態分析方式對處于未執行狀態的子文件進行分析后得到的信息；

將所述待檢測文件的特征信息輸入預先構建的惡意家族檢測模型，獲取待檢測文件是否屬于某一惡意家族以及相應置信度的第一檢測結果；其中，

所述惡意家族檢測模型是將已知惡意文件的特征信息以及已知惡意文件的標簽信息作為樣本數據，采用機器學習方式訓練得到的用于獲取待檢測文件是否屬于某一惡意家族以及相應置信度的檢測結果的模型；其中，

所述已知惡意文件的特征信息包括已知惡意文件所包含的各個層級中每一層級的子文件的動態行為信息與靜態文件信息，以及已知惡意文件所包含所有層級中各子文件的層級關系；所述動態行為信息是子文件在被執行過程中產生的信息，所述靜態文件信息是采用靜態分析方式對處于未執行狀態的子文件進行分析后得到的信息；已知惡意文件的標簽信息包括已知惡意文件所屬的惡意家族的信息。

上述技術方案中，還包括：

將所述待檢測文件的特征信息輸入預先構建的攻擊團伙檢測模型，獲取待檢測文件是否來源于某一攻擊團伙以及相應置信度的第二檢測結果；其中，所述攻擊團伙檢測模型是將已知惡意文件的特征信息以及已知惡意文件的標簽信息作為樣本數據，采用機器學習方式訓練得到的用于獲取待檢測文件是否來源于某一攻擊團伙以及相應置信度的檢測結果的模型；其中，

所述已知惡意文件的特征信息包括已知惡意文件所包含的各個層級中每一層級的子文件的動態行為信息與靜態文件信息，以及已知惡意文件所包含所有層級中各子文件的層級關系；所述動態行為信息是子文件在被執行過程中產生的信息，所述靜態文件信息是采用靜態分析方式對處于未執行狀態的子文件進行分析后得到的信息；已知惡意文件的標簽信息包括已知惡意文件所源自的攻擊團伙的信息。

上述技術方案中，還包括：