CN103581185B - 对抗免杀测试的云查杀方法、装置及*** - Google Patents
对抗免杀测试的云查杀方法、装置及*** Download PDFInfo
- Publication number
- CN103581185B CN103581185B CN201310534082.3A CN201310534082A CN103581185B CN 103581185 B CN103581185 B CN 103581185B CN 201310534082 A CN201310534082 A CN 201310534082A CN 103581185 B CN103581185 B CN 103581185B
- Authority
- CN
- China
- Prior art keywords
- cloud killing
- request
- kill
- cloud
- test
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000012360 testing method Methods 0.000 title claims abstract description 191
- 238000000034 method Methods 0.000 title claims abstract description 50
- 241000700605 Viruses Species 0.000 claims abstract description 95
- 230000002155 anti-virotic effect Effects 0.000 claims abstract description 23
- 238000012544 monitoring process Methods 0.000 claims description 22
- 230000005540 biological transmission Effects 0.000 claims description 5
- 238000011161 development Methods 0.000 claims description 5
- 230000008569 process Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 230000003612 virological effect Effects 0.000 description 3
- 239000002023 wood Substances 0.000 description 3
- 230000008485 antagonism Effects 0.000 description 2
- 238000004590 computer program Methods 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 231100000614 poison Toxicity 0.000 description 2
- 241000208340 Araliaceae Species 0.000 description 1
- 208000027534 Emotional disease Diseases 0.000 description 1
- 241000283086 Equidae Species 0.000 description 1
- 235000005035 Panax pseudoginseng ssp. pseudoginseng Nutrition 0.000 description 1
- 235000003140 Panax quinquefolius Nutrition 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 201000010099 disease Diseases 0.000 description 1
- 208000037265 diseases, disorders, signs and symptoms Diseases 0.000 description 1
- 238000001035 drying Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 235000008434 ginseng Nutrition 0.000 description 1
- 239000007943 implant Substances 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 230000006855 networking Effects 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 239000002574 poison Substances 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
- Debugging And Monitoring (AREA)
- Information Transfer Between Computers (AREA)
Abstract
本发明公开了一种对抗免杀测试的云查杀方法、装置及***。其中的方法包括:云端接收客户端发送的对样本进行病毒查杀的云查杀请求;云端解析所述云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果所述云查杀请求是免杀测试的云查杀请求,所述云端向客户端返回所述样本未携带病毒的云查杀结果;如果所述云查杀请求不是免杀测试的云查杀请求,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。通过本发明,“免杀测试”时,云查杀不会返回病毒信息,从而让免杀测试通过;而当木马真正在互联网上流传时,云查杀就会返回正确的结果,让杀毒软件将木马杀灭。
Description
技术领域
本发明涉及网络安全技术领域,具体涉及一种对抗免杀测试的云查杀方法、装置及***。
背景技术
如今的木马,在经济利益的驱使下,已经呈产业化运作趋势,不少木马,由专业的“公司”制作,形成了完整的开发->测试->市场推广的完整组织链条。而随着用户上网安全意识的提高,如今大多数用户都已经安装了杀毒软件,木马一旦被杀毒软件捕获,即被删除,木马“公司”为了维护自己的经济利益,就会想尽一切办法来逃避杀毒软件的查杀。其中一种手段就是“免杀测试”,也就是说,木马由“公司”的开发团队开发出来以后,通常会由测试团队负责,用主流的杀毒软件进行扫描,如果扫描提示病毒,那么测试不通过,开发团队会重新对木马进行修改,直到杀毒软件都不提示为止。
在这种情况下,传统杀毒软件的病毒识别方法就遇到了挑战。无论设计多么精巧的杀毒软件,其对特定软件的扫描结果都是固定的——要么是病毒,要么不是病毒。这样,木马的制作“公司”只要经过多次尝试,总能找到绕过杀毒软件检测的方法,制作出任何杀毒软件都不能识别的木马,并在互联网上传播。
因此,亟待提出一套与免杀测试对抗的方案,使免杀测试无效。
发明内容
鉴于上述问题,提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的对抗免杀测试的云查杀方法、装置及***。
依据本发明的一个方面,提供一种对抗免杀测试的云查杀方法,其中云查杀***包括云端和客户端,所述方法包括:云端接收客户端发送的对样本进行病毒查杀的云查杀请求;云端解析所述云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果所述云查杀请求是免杀测试的云查杀请求,所述云端向客户端返回所述样本未携带病毒的云查杀结果;如果所述云查杀请求不是免杀测试的云查杀请求,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
可选的,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:记录发送所述云查杀请求的IP;判断所述云查杀请求的IP是否在预置的IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述IP黑名单的设置方法包括:统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
可选的,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:记录发送所述云查杀请求的客户端识别号;判断所述云查杀请求的IP是否在预置的设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述设备识别号黑名单的设置方法包括:统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
可选的,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:记录所述样本的唯一识别特征;监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;如果统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
依据本发明的另一个方面,提供一种对抗免杀测试的云查杀装置,云查杀***包括云端和客户端,所述装置位于所述云端,包括识别引擎和病毒库,所述装置还包括免杀测试识别模块;所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
可选的,所述免杀测试识别模块包括:IP黑名单设置单元,用于设置并保存IP黑名单;记录单元,用于记录发送所述云查杀请求的IP;判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
可选的,所述免杀测试识别模块包括:设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;记录单元,用于记录发送所述云查杀请求的客户端识别号;判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
可选的,所述免杀测试识别模块包括:记录单元,用于记录所述样本的唯一识别特征;监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
依据本发明的另一个方面,提供一种对抗免杀测试的云查杀***,所述云查杀***包括云端和客户端,所述云端包括识别引擎和病毒库,所述云端还包括免杀测试识别模块;所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
可选的,所述免杀测试识别模块包括:IP黑名单设置单元,用于设置并保存IP黑名单;记录单元,用于记录发送所述云查杀请求的IP;判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
可选的,所述免杀测试识别模块包括:设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;记录单元,用于记录发送所述云查杀请求的客户端识别号;判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
可选的,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
可选的,所述免杀测试识别模块包括:记录单元,用于记录所述样本的唯一识别特征;监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
可见,通过本发明,如果识别到是正在进行“免杀测试”的云查杀请求,则直接返回所述样本未携带病毒的云查杀结果,使得云查杀的结果不识别为病毒;如果是正常的用户请求,则传递给识别引擎,返回识别引擎通过病毒库确定的云查杀结果。由此,对于“免杀测试”的云查杀请求,通过返回的未携带病毒的云查杀结果,使得木马等病毒测试人员误以为免杀测试通过,继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时,云查杀***可正常查杀。通过本发明的方法,“免杀测试”时,云查杀不会返回病毒信息,从而让免杀测试通过;而当木马真正在互联网上流传时,云查杀就会返回正确的结果,让杀毒软件将木马杀灭。
上述说明仅是本发明技术方案的概述,为了能够更清楚了解本发明的技术手段,而可依照说明书的内容予以实施,并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂,以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述,各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的,而并不认为是对本发明的限制。而且在整个附图中,用相同的参考符号表示相同的部件。在附图中:
图1示出了免杀测试的示意图;
图2示出了根据本发明一个实施例的对抗免杀测试的云查杀***框图;以及
图3示出了根据本发明一个实施例的对抗免杀测试的云查杀方法的流程图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例,然而应当理解,可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反,提供这些实施例是为了能够更透彻地理解本公开,并且能够将本公开的范围完整的传达给本领域的技术人员。
一个完整的特洛伊木马套装程序含了两部分:服务端(服务器部分)和客户端(控制器部分)。植入对方电脑的是服务端,而黑客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后,会产生一个有着容易迷惑用户的名称的进程,暗中打开端口,向指定地点发送数据(如网络游戏的密码,即时通信软件密码和用户上网密码等),黑客甚至可以利用这些打开的端口进入电脑***。
参见图1,为免杀测试流程示意图。传统杀毒软件,识别病毒都是毫秒级的,也就是说,利用制作好的木马,“用杀毒软件测试是否提示病毒”几乎立即就可以得到结果;然后木马开发者修改木马,修改完之后立即可以重新测试,这样反复试几次的时间成本并不高。
基于上述分析,本发明发明人发现,如果能合理延长“用杀毒软件测试是否提示病毒”环节的时间,就使得整个“免杀测试”流程的时间非常长,极大提高其时间成本,减少木马的经济利益。但是,对普通用户而言,则要求杀毒软件提示病毒的时间越快越好。所以本专利的关键,就在于,对普通的用户,需要立即返回结果;而对于木马制作“公司”,则应大幅延长其测试时间。
所谓云查杀,是指将病毒样本放入服务器,通过成千上百的服务器智能检测,自动判断文件是否病毒。可见,云查杀***包括云端和客户端,。云查杀必须联网才有效,,因为只有联网后才能与杀毒软件的服务器相连接,从而达到快速查杀而减低误杀。
传统的云查杀***中,云端与客户端通过网络连接通信,在云端,又进一步主要包括识别引擎以及病毒库,识别引擎通过将目标文件(也称为:样本)与病毒库进行比对判断,确定目标文件是否携带病毒。
本发明中,在云查杀***的云端的“识别引擎”前增加一个免杀测试识别模块。参见图2,为根据本发明一个实施例的对抗免杀测试的云查杀***框图。云查杀***包括客户端201和云端202,客户端201与云端202通过网络连接。其中,客户端是指用户终端,例如智能手机终端、PC机终端等等。云端202包括免杀测试识别模块2021、识别引擎2022和病毒库2023。
免杀测试识别模块2021主要用于识别云查杀请求是否是免杀测试的云查杀请求,如果是,则直接通过网络向客户端201返回“未知”或“安全”等表明目标文件非病毒的查杀结果;如果免杀测试识别模块2021识别出云查杀请求不是免杀测试的云查杀请求,而是普通用户发来的查杀请求,则将查杀请求进一步传递给识别引擎2022,识别引擎2022按照原有流程通过查询病毒库2023而确定目标文件是否携带病毒并将查杀结果返回给客户端201.
可见,通过本发明,如果识别到是正在进行“免杀测试”的云查杀请求,则直接返回“未知”“安全”等值,使得云查杀的结果不识别为病毒;如果是正常的用户请求,则传递给识别引擎,返回识别引擎本身的值。
由此,对于“免杀测试”的云查杀请求,通过返回的“未知”“安全”等值,使得木马等病毒测试人员误以为免杀测试通过,继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时,云查杀***可正常查杀。
免杀测试识别模块2021识别云查杀请求是否是免杀测试的云查杀请求的方式有多种。
下面详细介绍如何判断正在进行的是“免杀测试”云查杀请求。
(1)IP黑名单
免杀测试识别模块2021可以统计单位时间(例如1天内)某IP、IP段、IP所对应的区域所请求的次数,如果超过合理的次数,有可能是专业的测试人员正在对云查杀接口进行测试,所以自动将IP加入黑名单,其所有的请求结果都不返回病毒信息;
(2)设备识别号黑名单
云查杀是由杀毒软件客户端发起的,杀毒软件客户端通常可以收集用户设备的识别号(例如PC的MAC地址,手机的IMEI号等),与IP黑名单类似,如果相同的设备识别号在单位时间内请求超过了合理的次数,也将其自动加入黑名单。
(3)请求样本的请求次数和分布特征
一款正在测试中的软件,还没有对外大规模发布,所以统计到的请求总次数会比较小。例如,正在测试的木马,可能也就只有几个测试人员在测,所以统计到该样本的请求次数可能只有几次。而真正对外发布的应用,其请求应该分布在全国各地(通过请求IP可以查到),而且请求的次数也要多得多。具体做法:免杀测试识别模块2021对于每个请求的样本,记录样本的唯一识别特征(例如文件MD5)和请求的IP;定期分析上述记录,根据请求IP的个数、分布,筛除小于设定值的样本。例如,对于一个新木马的测试,往往只有几个IP分布邻近的终端发来的有限数目的云查杀请求,假如针对一个特定样本(唯一识别特征识别该特定样本),其云查杀的请求IP在设定条件内,比如设定条件是:各IP分布邻近以及总请求的IP个数小于或等于10,那么可认定针对该特定样本的云查杀请求是免杀测试的云查杀请求。
通过上面的方式,“免杀测试”时,云查杀都不会返回病毒信息,从而让免杀测试通过;而当木马真正在互联网上流传时,云查杀就会返回正确的结果,让杀毒软件将木马杀灭。
参见图3,为本发明一个实施例提供的一种对抗免杀测试的云查杀方法的流程图。如前所述,云查杀***包括云端和客户端,该方法包括以下步骤:
S301:云端接收客户端发送的对样本进行病毒查杀的云查杀请求;
S302:云端解析云查杀请求,判断云查杀请求是否为免杀测试的云查杀请求,若是免杀测试的云查杀请求,则执行S303,否则执行S304;
S303:如果云查杀请求是免杀测试的云查杀请求,云端向客户端返回样本未携带病毒的云查杀结果;
S304:如果云查杀请求不是免杀测试的云查杀请求,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
其中,判断所述云查杀请求是否为免杀测试的云查杀请求的方式有多种。
例如,一种方式是,通过记录发送云查杀请求的IP,并判断云查杀请求的IP是否在预置的IP黑名单中,如果是,则确定云查杀请求是免杀测试的云查杀请求。其中,IP黑名单是预置的,其预置方法为,先建立一个空的名单,通过统计判断,将符合“黑IP”添加进去。具体的,统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
又如,又一种方式是,通过记录发送云查杀请求的客户端识别号;再判断云查杀请求的IP是否在预置的设备识别号黑名单中,如果是,则确定云查杀请求是免杀测试的云查杀请求。其中,设备识别号黑名单是预置的,其预置方法为,先建立一个空的名单,通过统计判断,将符合“黑客户端识别号”添加进去。具体的,统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
再如,另一种方式是,通过记录样本的唯一识别特征,并监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布,如果统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
通过本发明的方法,“免杀测试”时,云查杀都不会返回病毒信息,从而让免杀测试通过;而当木马真正在互联网上流传时,云查杀就会返回正确的结果,让杀毒软件将木马杀灭。
与上述方法相对应,本发明还提供一种对抗免杀测试的云查杀装置。如前所述,云查杀***包括云端和客户端,本发明提供的装置位于所述云端,包括识别引擎和病毒库,特别的,还包括免杀测试识别模块。
其中:
免杀测试识别模块,用于解析客户端发来的对样本进行病毒查杀的云查杀请求,判断云查杀请求是否为免杀测试的云查杀请求;如果确定云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;
识别引擎,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
优选的,免杀测试识别模块判断云查杀请求是否为免杀测试的云查杀请求的方式有多种。
一种方式是,通过IP黑名单判断出免杀测试的云查杀请求。此时,免杀测试识别模块包括:IP黑名单设置单元,用于设置并保存IP黑名单;记录单元,用于记录发送所述云查杀请求的IP;判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。其中,IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
又一种方式是,通过设备识别号黑名单判断出免杀测试的云查杀请求。此时,免杀测试识别模块包括:设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;记录单元,用于记录发送所述云查杀请求的客户端识别号;判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。其中,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
另一种方式是,通过样本唯一识别特征及统计IP个数及分布判断出免杀测试的云查杀请求。此时,免杀测试识别模块包括:记录单元,用于记录所述样本的唯一识别特征;监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
可见,通过本发明,如果识别到是正在进行“免杀测试”的云查杀请求,则直接返回所述样本未携带病毒的云查杀结果,使得云查杀的结果不识别为病毒;如果是正常的用户请求,则传递给识别引擎,返回识别引擎通过病毒库确定的云查杀结果。由此,对于“免杀测试”的云查杀请求,通过返回的未携带病毒的云查杀结果,使得木马等病毒测试人员误以为免杀测试通过,继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时,云查杀***可正常查杀。
通过本发明的方法,“免杀测试”时,云查杀都不会返回病毒信息,从而让免杀测试通过;而当木马真正在互联网上流传时,云查杀就会返回正确的结果,让杀毒软件将木马杀灭。
在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述,构造这类***所要求的结构是显而易见的。此外,本发明也不针对任何特定编程语言。应当明白,可以利用各种编程语言实现在此描述的本发明的内容,并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中,说明了大量具体细节。然而,能够理解,本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中,并未详细示出公知的方法、结构和技术,以便不模糊对本说明书的理解。
类似地,应当理解,为了精简本公开并帮助理解各个发明方面中的一个或多个,在上面对本发明的示例性实施例的描述中,本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而,并不应将该公开的方法解释成反映如下意图:即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说,如下面的权利要求书所反映的那样,发明方面在于少于前面公开的单个实施例的所有特征。因此,遵循具体实施方式的权利要求书由此明确地并入该具体实施方式,其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解,可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件,以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外,可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述,本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外,本领域的技术人员能够理解,尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征,但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如,在下面的权利要求书中,所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现,或者以在一个或者多个处理器上运行的软件模块实现,或者以它们的组合实现。本领域的技术人员应当理解,可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的对抗免杀测试的云查杀装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如,计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上,或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到,或者在载体信号上提供,或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制,并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中,不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中,这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
本发明公开了:A1、一种对抗免杀测试的云查杀方法,云查杀***包括云端和客户端,所述方法包括:
云端接收客户端发送的对样本进行病毒查杀的云查杀请求;
云端解析所述云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;
如果所述云查杀请求是免杀测试的云查杀请求,所述云端向客户端返回所述样本未携带病毒的云查杀结果;
如果所述云查杀请求不是免杀测试的云查杀请求,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
A2、如A1所述的方法,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录发送所述云查杀请求的IP;
判断所述云查杀请求的IP是否在预置的IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
A3、如A2所述的方法,所述IP黑名单的设置方法包括:
统计单位时间内某IP发送的云查杀请求的次数;
如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
A4、如A1所述的方法,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录发送所述云查杀请求的客户端识别号;
判断所述云查杀请求的IP是否在预置的设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
A5、如A4所述的方法,所述设备识别号黑名单的设置方法包括:
统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;
如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
A6、如A1所述的方法,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录所述样本的唯一识别特征;
监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
如果统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
B7、一种对抗免杀测试的云查杀装置,云查杀***包括云端和客户端,所述装置位于所述云端,包括识别引擎和病毒库,所述装置还包括免杀测试识别模块;
所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;
所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
B8、如B7所述的装置,所述免杀测试识别模块包括:
IP黑名单设置单元,用于设置并保存IP黑名单;
记录单元,用于记录发送所述云查杀请求的IP;
判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
B9、如B8所述的装置,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
B10、如B7所述的装置,所述免杀测试识别模块包括:
设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;
记录单元,用于记录发送所述云查杀请求的客户端识别号;
判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
B11、如B10所述的装置,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
B12、如B7所述的装置,所述免杀测试识别模块包括:
记录单元,用于记录所述样本的唯一识别特征;
监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
C13、一种对抗免杀测试的云查杀***,所述云查杀***包括云端和客户端,所述云端包括识别引擎和病毒库,所述云端还包括免杀测试识别模块;
所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;
所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
C14、如C13所述的***,所述免杀测试识别模块包括:
IP黑名单设置单元,用于设置并保存IP黑名单;
记录单元,用于记录发送所述云查杀请求的IP;
判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
C15、如C14所述的***,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
C16、如C13所述的***,所述免杀测试识别模块包括:
设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;
记录单元,用于记录发送所述云查杀请求的客户端识别号;
判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
C17、如C16所述的***,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
C18、如C13所述的***,所述免杀测试识别模块包括:
记录单元,用于记录所述样本的唯一识别特征;
监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
Claims (18)
1.一种对抗免杀测试的云查杀方法,其特征在于,所述免杀测试是指病毒开发团队利用杀毒软件测试病毒从而确定是否提示病毒,云查杀***包括云端和客户端,所述方法包括:
云端接收客户端发送的对样本进行病毒查杀的云查杀请求;
云端解析所述云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;
如果所述云查杀请求是免杀测试的云查杀请求,所述云端向客户端返回所述样本未携带病毒的云查杀结果;
如果所述云查杀请求不是免杀测试的云查杀请求,将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
2.如权利要求1所述的方法,其特征在于,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录发送所述云查杀请求的IP;
判断所述云查杀请求的IP是否在预置的IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
3.如权利要求2所述的方法,其特征在于,所述IP黑名单的设置方法包括:
统计单位时间内某IP发送的云查杀请求的次数;
如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
4.如权利要求1所述的方法,其特征在于,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录发送所述云查杀请求的客户端识别号;
判断所述云查杀请求的IP是否在预置的设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
5.如权利要求4所述的方法,其特征在于,所述设备识别号黑名单的设置方法包括:
统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;
如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
6.如权利要求1所述的方法,其特征在于,所述判断所述云查杀请求是否为免杀测试的云查杀请求包括:
记录所述样本的唯一识别特征;
监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
如果统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
7.一种对抗免杀测试的云查杀装置,所述免杀测试是指病毒开发团队利用杀毒软件测试病毒从而确定是否提示病毒,云查杀***包括云端和客户端,所述装置位于所述云端,包括识别引擎和病毒库,其特征在于,所述装置还包括免杀测试识别模块;
所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;
所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
8.如权利要求7所述的装置,其特征在于,所述免杀测试识别模块包括:
IP黑名单设置单元,用于设置并保存IP黑名单;
记录单元,用于记录发送所述云查杀请求的IP;
判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
9.如权利要求8所述的装置,其特征在于,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
10.如权利要求7所述的装置,其特征在于,所述免杀测试识别模块包括:
设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;
记录单元,用于记录发送所述云查杀请求的客户端识别号;
判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
11.如权利要求10所述的装置,其特征在于,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
12.如权利要求7所述的装置,其特征在于,所述免杀测试识别模块包括:
记录单元,用于记录所述样本的唯一识别特征;
监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
13.一种对抗免杀测试的云查杀***,所述免杀测试是指病毒开发团队利用杀毒软件测试病毒从而确定是否提示病毒,所述云查杀***包括云端和客户端,所述云端包括识别引擎和病毒库,其特征在于,所述云端还包括免杀测试识别模块;
所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求,判断所述云查杀请求是否为免杀测试的云查杀请求;如果确定所述云查杀请求是免杀测试的云查杀请求,向客户端返回所述样本未携带病毒的云查杀结果;如果确定所述云查杀请求不是免杀测试的云查杀请求,将非免杀测试的云查杀请求传递给所述识别引擎;
所述识别引擎将样本与云端的病毒库进行比对,确定样本是否携带病毒并进行相应的病毒查杀。
14.如权利要求13所述的***,其特征在于,所述免杀测试识别模块包括:
IP黑名单设置单元,用于设置并保存IP黑名单;
记录单元,用于记录发送所述云查杀请求的IP;
判断单元,用于判断所述云查杀请求的IP是否在IP黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
15.如权利要求14所述的***,其特征在于,所述IP黑名单设置单元,用于统计单位时间内某IP发送的云查杀请求的次数;如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值,则将该IP添加到IP黑名单中。
16.如权利要求13所述的***,其特征在于,所述免杀测试识别模块包括:
设备识别号黑名单设置单元,用于设置并保存设备识别号黑名单;
记录单元,用于记录发送所述云查杀请求的客户端识别号;
判断单元,用于判断所述云查杀请求的IP是否在设备识别号黑名单中,如果是,则确定所述云查杀请求是免杀测试的云查杀请求。
17.如权利要求16所述的***,其特征在于,所述设备识别号黑名单的设置单元,用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数;如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值,则将该设备识别号添加到设备识别号黑名单中。
18.如权利要求13所述的***,其特征在于,所述免杀测试识别模块包括:
记录单元,用于记录所述样本的唯一识别特征;
监测及统计单元,用于监测针对所述唯一识别特征发送的云查杀请求,统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布;
判断单元,如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内,则确定所述云查杀请求是免杀测试的云查杀请求。
Priority Applications (5)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310534082.3A CN103581185B (zh) | 2013-11-01 | 2013-11-01 | 对抗免杀测试的云查杀方法、装置及*** |
PCT/CN2014/083907 WO2015062328A1 (zh) | 2013-11-01 | 2014-08-07 | 对抗免杀测试的云查杀方法、装置及*** |
PCT/CN2014/090030 WO2015062541A1 (zh) | 2013-11-01 | 2014-10-31 | 对抗免杀测试的云查杀方法、装置及*** |
US15/033,566 US9876817B2 (en) | 2013-11-01 | 2014-10-31 | Cloud checking and killing method, device and system for combating anti-antivirus test |
US15/857,977 US10257222B2 (en) | 2013-11-01 | 2017-12-29 | Cloud checking and killing method, device and system for combating anti-antivirus test |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310534082.3A CN103581185B (zh) | 2013-11-01 | 2013-11-01 | 对抗免杀测试的云查杀方法、装置及*** |
Publications (2)
Publication Number | Publication Date |
---|---|
CN103581185A CN103581185A (zh) | 2014-02-12 |
CN103581185B true CN103581185B (zh) | 2016-12-07 |
Family
ID=50052115
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201310534082.3A Active CN103581185B (zh) | 2013-11-01 | 2013-11-01 | 对抗免杀测试的云查杀方法、装置及*** |
Country Status (3)
Country | Link |
---|---|
US (2) | US9876817B2 (zh) |
CN (1) | CN103581185B (zh) |
WO (2) | WO2015062328A1 (zh) |
Families Citing this family (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103581185B (zh) | 2013-11-01 | 2016-12-07 | 北京奇虎科技有限公司 | 对抗免杀测试的云查杀方法、装置及*** |
CN107689975B (zh) * | 2016-08-05 | 2020-07-31 | 腾讯科技(深圳)有限公司 | 一种基于云计算的计算机病毒识别方法及*** |
CN107577966B (zh) * | 2017-09-19 | 2023-09-29 | 中国南方电网有限责任公司超高压输电公司南宁监控中心 | 一种移动储存的防病毒方法及防病毒安全器 |
CN110874472B (zh) * | 2018-09-04 | 2024-02-13 | 中国信息安全测评中心 | 一种pe病毒逃逸样本的生成方法和*** |
CN109743629A (zh) * | 2018-12-11 | 2019-05-10 | 新视家科技(北京)有限公司 | 智能电视应用的安全处理方法及其装置、电子设备 |
CN111191232B (zh) * | 2019-06-28 | 2023-09-29 | 腾讯科技(深圳)有限公司 | 病毒查杀的方法、装置和存储介质 |
CN112580030B (zh) * | 2019-09-27 | 2023-08-01 | 奇安信科技集团股份有限公司 | 网络***及半隔离网终端病毒查杀方法和装置 |
CN112580026B (zh) * | 2019-09-27 | 2024-02-20 | 奇安信科技集团股份有限公司 | 网络***及终端病毒查杀方法和装置 |
CN111400714B (zh) * | 2020-04-16 | 2023-06-02 | Oppo广东移动通信有限公司 | 病毒检测方法、装置、设备及存储介质 |
CN115913683B (zh) * | 2022-11-07 | 2024-04-30 | 中国联合网络通信集团有限公司 | 风险访问记录生成方法、装置、设备及存储介质 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101901314A (zh) * | 2009-06-19 | 2010-12-01 | 卡巴斯基实验室封闭式股份公司 | 反恶意软件处理中误报的检测和最小化 |
CN101924761A (zh) * | 2010-08-18 | 2010-12-22 | 奇智软件(北京)有限公司 | 一种依据白名单进行恶意程序检测的方法 |
CN102123396A (zh) * | 2011-02-14 | 2011-07-13 | 恒安嘉新(北京)科技有限公司 | 基于通信网的手机病毒和恶意软件的云检测方法 |
CN102970272A (zh) * | 2011-09-01 | 2013-03-13 | 腾讯科技(深圳)有限公司 | 用于病毒检测的方法、装置和云服务器 |
CN103136474A (zh) * | 2011-11-29 | 2013-06-05 | 姚纪卫 | 检测文件的方法和装置 |
Family Cites Families (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10043008B2 (en) * | 2004-10-29 | 2018-08-07 | Microsoft Technology Licensing, Llc | Efficient white listing of user-modifiable files |
US7849502B1 (en) * | 2006-04-29 | 2010-12-07 | Ironport Systems, Inc. | Apparatus for monitoring network traffic |
US9047441B2 (en) * | 2011-05-24 | 2015-06-02 | Palo Alto Networks, Inc. | Malware analysis system |
CN102831338B (zh) * | 2012-06-28 | 2015-09-30 | 北京奇虎科技有限公司 | 一种Android应用程序的安全检测方法及*** |
RU2536663C2 (ru) * | 2012-12-25 | 2014-12-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ защиты от нелегального использования облачных инфраструктур |
CN103581185B (zh) * | 2013-11-01 | 2016-12-07 | 北京奇虎科技有限公司 | 对抗免杀测试的云查杀方法、装置及*** |
-
2013
- 2013-11-01 CN CN201310534082.3A patent/CN103581185B/zh active Active
-
2014
- 2014-08-07 WO PCT/CN2014/083907 patent/WO2015062328A1/zh active Application Filing
- 2014-10-31 US US15/033,566 patent/US9876817B2/en active Active
- 2014-10-31 WO PCT/CN2014/090030 patent/WO2015062541A1/zh active Application Filing
-
2017
- 2017-12-29 US US15/857,977 patent/US10257222B2/en active Active
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101901314A (zh) * | 2009-06-19 | 2010-12-01 | 卡巴斯基实验室封闭式股份公司 | 反恶意软件处理中误报的检测和最小化 |
CN101924761A (zh) * | 2010-08-18 | 2010-12-22 | 奇智软件(北京)有限公司 | 一种依据白名单进行恶意程序检测的方法 |
CN102123396A (zh) * | 2011-02-14 | 2011-07-13 | 恒安嘉新(北京)科技有限公司 | 基于通信网的手机病毒和恶意软件的云检测方法 |
CN102970272A (zh) * | 2011-09-01 | 2013-03-13 | 腾讯科技(深圳)有限公司 | 用于病毒检测的方法、装置和云服务器 |
CN103136474A (zh) * | 2011-11-29 | 2013-06-05 | 姚纪卫 | 检测文件的方法和装置 |
Also Published As
Publication number | Publication date |
---|---|
WO2015062328A1 (zh) | 2015-05-07 |
US9876817B2 (en) | 2018-01-23 |
WO2015062541A1 (zh) | 2015-05-07 |
CN103581185A (zh) | 2014-02-12 |
US10257222B2 (en) | 2019-04-09 |
US20180124103A1 (en) | 2018-05-03 |
US20160285909A1 (en) | 2016-09-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN103581185B (zh) | 对抗免杀测试的云查杀方法、装置及*** | |
US11019114B2 (en) | Method and system for application security evaluation | |
CN104980309B (zh) | 网站安全检测方法及装置 | |
CN111400722B (zh) | 扫描小程序的方法、装置、计算机设备和存储介质 | |
CN105376245A (zh) | 一种基于规则的apt攻击行为的检测方法 | |
CN105577799B (zh) | 一种数据库集群的故障检测方法和装置 | |
CN108989296A (zh) | 一种物联网***安全综合评估***及方法 | |
CN113868659B (zh) | 一种漏洞检测方法及*** | |
CN105306467B (zh) | 网页数据篡改的分析方法及装置 | |
CN108268371A (zh) | 面向Android应用的智能模糊测试方法 | |
CN113158197B (zh) | 一种基于主动iast的sql注入漏洞检测方法、*** | |
CN111857965A (zh) | 内网威胁检测方法、装置、设备和计算机设备 | |
CN104486320B (zh) | 基于蜜网技术的内网敏感信息泄露取证***及方法 | |
CN106027540A (zh) | 一种页面拦截方法和***、以及一种安全桌面 | |
CN109711149A (zh) | 动态更新机制判定方法及应用全生命周期行为监控方法 | |
CN111193727A (zh) | 运行监测***及运行监测方法 | |
CN110399723B (zh) | 漏洞检测方法和装置、存储介质及电子装置 | |
CN113868669A (zh) | 一种漏洞检测方法及*** | |
JP5613000B2 (ja) | アプリケーション特性解析装置およびプログラム | |
CN107623916A (zh) | 一种进行WiFi网络安全监控的方法与设备 | |
CN116318783B (zh) | 基于安全指标的网络工控设备安全监测方法及装置 | |
WO2016048294A1 (en) | Infrastructure rule generation | |
CN106027658A (zh) | 一种页面访问方法和***、以及一种安全桌面 | |
CN112329021B (zh) | 一种排查应用漏洞的方法、装置、电子装置和存储介质 | |
CN104363256B (zh) | 一种手机病毒的识别和控制方法、设备与*** |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
TR01 | Transfer of patent right |
Effective date of registration: 20220713 Address after: Room 801, 8th floor, No. 104, floors 1-19, building 2, yard 6, Jiuxianqiao Road, Chaoyang District, Beijing 100015 Patentee after: BEIJING QIHOO TECHNOLOGY Co.,Ltd. Address before: 100088 room 112, block D, 28 new street, new street, Xicheng District, Beijing (Desheng Park) Patentee before: BEIJING QIHOO TECHNOLOGY Co.,Ltd. Patentee before: Qizhi software (Beijing) Co.,Ltd. |
|
TR01 | Transfer of patent right |