CN111027071B - 一种威胁程序全行为关联分析方法及装置 - Google Patents
一种威胁程序全行为关联分析方法及装置 Download PDFInfo
- Publication number
- CN111027071B CN111027071B CN201911316671.8A CN201911316671A CN111027071B CN 111027071 B CN111027071 B CN 111027071B CN 201911316671 A CN201911316671 A CN 201911316671A CN 111027071 B CN111027071 B CN 111027071B
- Authority
- CN
- China
- Prior art keywords
- threat
- behavior
- program
- data
- behaviors
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000012097 association analysis method Methods 0.000 title claims abstract description 18
- 230000006399 behavior Effects 0.000 claims abstract description 233
- 238000000034 method Methods 0.000 claims abstract description 34
- 230000008569 process Effects 0.000 claims abstract description 14
- 230000003542 behavioural effect Effects 0.000 claims abstract description 12
- 238000004364 calculation method Methods 0.000 claims abstract description 12
- 230000007123 defense Effects 0.000 claims abstract description 9
- 238000001824 photoionisation detection Methods 0.000 claims description 24
- 230000009471 action Effects 0.000 claims description 19
- 238000010276 construction Methods 0.000 claims description 9
- 238000012098 association analyses Methods 0.000 claims description 7
- 238000004140 cleaning Methods 0.000 claims description 7
- 230000015572 biosynthetic process Effects 0.000 claims description 2
- 241000700605 Viruses Species 0.000 description 9
- 238000010586 diagram Methods 0.000 description 4
- 239000012634 fragment Substances 0.000 description 4
- 230000006870 function Effects 0.000 description 4
- 230000008030 elimination Effects 0.000 description 3
- 238000003379 elimination reaction Methods 0.000 description 3
- 238000012545 processing Methods 0.000 description 3
- 238000001514 detection method Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000003993 interaction Effects 0.000 description 2
- 238000010295 mobile communication Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 239000000969 carrier Substances 0.000 description 1
- 230000001364 causal effect Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 238000010219 correlation analysis Methods 0.000 description 1
- 238000013467 fragmentation Methods 0.000 description 1
- 238000006062 fragmentation reaction Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000009545 invasion Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000005065 mining Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000013138 pruning Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 230000026676 system process Effects 0.000 description 1
- 230000014599 transmission of virus Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 230000003612 virological effect Effects 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
- G06F2221/033—Test or assess software
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明实施例公开了一种威胁程序全行为关联分析方法及装置,涉及端点安全防御技术领域,能够构建威胁程序的全行为链。包括:若当前设备发现威胁程序,则提取威胁程序的预设项值;基于预设项值构建匹配因子计算公式;基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;基于威胁程序及其衍生行为形成完整行为链;其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
Description
技术领域
本发明涉及网络安全技术领域,尤其涉及一种威胁程序全行为关联分析方法、装置、电子设备及存储介质。
背景技术
现代病毒威胁技术不断发展进化,采用分块化、碎片化的方式工作的趋势十分明显。大量已知病毒威胁和未知病毒威胁,在对主机侦查、投递、执行、破坏过程中产生大量碎片程序,它将其部分碎片程序通过注入***进程与正常程序的运行中,来实现病毒的自增与传播,这部分功能实现的十分隐蔽。这些碎片程序独立,行为与正常程序行为类似,却和其他部分互相配合完成威胁行动。传统的检测清除方法,是很难明确肯定这部分碎片是否为病毒威胁。即使大部分安全检测软件依然依靠已知威胁的检测清除方法,处理主机中的病毒威胁,并告知用户处理完毕,大多数只是去除了部分碎片,无法根除病毒的全部。
现在已有的关联分析必须在多台终端收集海量数据,却只能得出关联概率,推测病毒可能的行为,关联度很低,其实是无法得出威胁具体实施的行为时间和行为执行情况,更无法对碎片化很深的威胁给出彻底清除方案以及得出入侵的方式。
发明内容
有鉴于此,本发明实施例提供了一种威胁程序全行为关联分析方法、装置、电子设备及存储介质,能够有效建立威胁程序从入侵开始至触发威胁点之间的所有行为链。
本发明实施例提供一种威胁程序全行为关联分析方法,包括:
若当前设备发现威胁程序,则提取威胁程序的预设项值;
基于预设项值构建匹配因子计算公式;
基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;
基于威胁程序及其衍生行为形成完整行为链;
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
进一步地,所述基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为,具体包括:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库。
进一步地,所述基于威胁程序及其衍生行为形成完整行为链,具体包括:
在所述威胁数据空间中,寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,,当获得所有的行为尾,获得完整行为链。
进一步地,所述预设项值包括:MD5、PID、文件路径名;所述基于预设项值构建匹配因子计算公式,具体包括:
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则same MD5=1;当MD5不同时,则same MD5=0;
当PID相同时,则same PID=1;当PID不同时,则same PID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0。
进一步地,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
上述方法实施例中,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
第二方面,本发明实施例提供一种威胁程序全行为关联分析装置,包括:
威胁程序发现模块,用于若当前设备发现威胁程序,则提取威胁程序的预设项值;
匹配因子构建模块,用于基于预设项值构建匹配因子计算公式;
衍生行为定位模块,用于基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;
完整行为链形成模块,用于基于威胁程序及其衍生行为形成完整行为链;
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
进一步地,所述衍生行为定位模块,具体用于:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库。
进一步地,所述完整行为链形成模块,具体用于:
在所述威胁数据空间中,寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,当获得所有的行为尾,则关联检索行为终止,获得完整行为链。
进一步地,所述匹配因子构建模块,具体用于:
预设项值包括:MD5、PID、文件路径名;
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则same MD5=1;当MD5不同时,则same MD5=0;
当PID相同时,则same PID=1;当PID不同时,则same PID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0。
进一步地,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
上述装置实施例中,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
第三方面,本发明实施例提供一种电子设备,所述电子设备包括:壳体、处理器、存储器、电路板和电源电路,其中,电路板安置在壳体围成的空间内部,处理器和存储器设置在电路板上;电源电路,用于为上述电子设备的各个电路或器件供电;存储器用于存储可执行程序代码;处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序,用于执行上述任一所述的威胁程序全行为关联分析方法。
第四方面,本发明的实施例还提供计算机可读存储介质,所述计算机可读存储介质存储有一个或者多个程序,所述一个或者多个程序可被一个或者多个处理器执行,以实现前述任一实现方式所述的威胁程序全行为关联分析方法。
本发明实施例提供的一种威胁程序全行为关联分析方法、装置、电子设备及存储介质,首先在设备端记录运行中产生的所有信息,并基于网空威胁框架进行标记;若设备中出现威胁程序,则以威胁程序为起点,基于匹配因子关联检索海量行为库中的其他衍生行为,最终形成该威胁程序的完整行为链。本发明实施例能够快速形成威胁程序的全行为链,最终进行彻底根除。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其它的附图。
图1为本发明的一种威胁程序全行为关联分析方法的一实施例方法流程图;
图2为本发明的一种威胁程序全行为关联分析方法的又一实施例方法流程图;
图3为本发明的一种威胁程序全行为关联分析方法另一实施例方法流程图;
图4为本发明的一种威胁程序全行为关联分析装置的一实施例结构示意图;
图5为本发明电子设备一个实施例的结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例,都属于本发明保护的范围。
为了更清楚地说明本发明中的实施例,因此对涉及到的技术术语进行解释和说明:
关联分析:又称关联挖掘,就是在交易数据、关系数据或其他信息载体中,查找存在于项目集合或对象集合之间的频繁模式、关联、相关性或因果结构。
网空威胁框架:网空威胁框架将攻击者的步骤分为管理、准备、交互、存在、影响和持续进程等阶段,每个阶段包含需要达到的目标活动,每个目标活动又包含攻击者的具体行动,并对这些具体行动做了一个专业通用的分类和描述,以便于对网络威胁事件进行一致描述和分类。
威胁行为链:病毒威胁从入侵开始至触发威胁点之间的全部程序部分,以及全部行为。
第一方面,本发明实施例提供一种威胁程序全行为关联分析方法,能够构建威胁程序的全行为链。
图1为本发明一种威胁程序全行为关联分析方法的一实施例方法流程图,包括:
S101:若当前设备发现威胁程序,则提取威胁程序的预设项值。
其中,所述预设项值包括但不限于:MD5、PID、文件路径名、前后的修改记录或者落地方式。
S102:基于预设项值构建匹配因子计算公式。
S103:基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为。其中,所述衍生行为包括但不限于:进程启动、文件改动、注册表、计划任务等。
S104:基于威胁程序及其衍生行为形成完整行为链。
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。本发明不依赖某个具体的网空威胁框架,不会因为框架漏洞而局限思维。
优选地,所述基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为,具体包括:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库。
优选地,所述基于威胁程序及其衍生行为形成完整行为链,具体包括:
在所述威胁数据空间中,寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,获得完整行为链。
优选地,所述预设项值包括:MD5、PID、文件路径名;所述基于预设项值构建匹配因子计算公式,具体包括:
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则same MD5=1;当MD5不同时,则same MD5=0;
当PID相同时,则same PID=1;当PID不同时,则same PID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0。
更为优选地,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
上述方法实施例中,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
其中,B+树是一种树数据结构,通常用于数据库和操作***的文件***中。B+树的特点是能够保持数据稳定有序,其***与修改拥有较稳定的对数时间复杂度。B+树元素自底向上***,这与二叉树恰好相反。
其中,所述预设上限根据具体实际情况设置,本实施例可以为100M。
本实施例将设备告警的威胁程序作为整个方案的起点,并基于匹配因子关联检索预先收集并按照网空威胁框架标记的海量行为库,进而定位威胁程序相关的衍生行为,最终形成完整行为链,突破传统安全软件的视角局限,有助于根除设备病毒威胁。
图2为本发明一种威胁程序全行为关联分析方法的又一实施例方法流程图,包括:
S201:若当前设备发现威胁程序,则提取威胁程序的预设项值。
S202:基于预设项值构建匹配因子计算公式。
S203:计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据。
S204:将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间。更为优选地,对匹配数据空间内的预设项值数据进行筛选,对于个别***文件若采集的行为过多,需要按照确定的入侵点,或者入侵点触发后的第一次时间点来去冗余。
S205:基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为。
S206:对于威胁数据空间进行去冗余操作,对重复记入的对应数据计次合并。
S207:若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止。同时,也可根据需要设定检索上限,即预设层级,当查找层级超过预设层级则关联检索行为终止。
S208:在所述威胁数据空间中寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头。
S209:按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾。
S210:去除相关联但无威胁的行为数据,获得完整行为链。
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库。
本实施例利用匹配数据空间完成基于匹配因子的关联检索行为,利用威胁数据空间存储威胁程序所有衍生行为相关数据,并最终基于威胁数据空间构建完整的行为链。
图3为本发明一种威胁程序全行为关联分析方法另一实施例方法流程图,包括:
S301:若当前设备发现威胁程序,则提取威胁程序的预设项值,包括但不限于:MD5、PID、文件路径名。
S302:匹配因子=sameMD5+(samePID+same文件路径名)/2。
其中,当MD5相同时,则same MD5=1;当MD5不同时,则same MD5=0;
当PID相同时,则same PID=1;当PID不同时,则same PID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0。
S303:当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
例如:若MD5采集失败,但是PID相同、文件路径名相同、则上述匹配因子=0+(1+1)/2=1,则满足匹配因子大于等于1,则提取该条数据。因此,即使MD5提取不到,也可以完成匹配,极大提高了***容错率。
S304:将对应数据按照B+树形式存储在威胁数据空间。目的是,方便去冗余和频繁的删改。
更为优选地,当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件;
S305:基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为。
S306:当定位到全部行为尾检索终止。
S307:基于威胁程序及其衍生行为形成完整行为链。
本实施例利用MD5、PID和文件路径名作为预设项值构造匹配因子计算公式,并基于该公式完成衍生行为的定位工作,最终形成完整行为链。
第二方面,本发明实施例提供一种威胁程序全行为关联分析装置,能够构建威胁程序的全行为链。
图4为本发明一种威胁程序全行为关联分析装置的一实施例结构示意图,包括:
威胁程序发现模块401,用于若当前设备发现威胁程序,则提取威胁程序的预设项值;
匹配因子构建模块402,用于基于预设项值构建匹配因子计算公式;
衍生行为定位模块403,用于基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;
完整行为链形成模块404,用于基于威胁程序及其衍生行为形成完整行为链;
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
优选地,所述衍生行为定位模块,具体用于:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库。
优选地,所述完整行为链形成模块,具体用于:
寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,获得完整行为链。
优选地,所述匹配因子构建模块,具体用于:
预设项值包括:MD5、PID、文件路径名;
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则same MD5=1;当MD5不同时,则same MD5=0;
当PID相同时,则same PID=1;当PID不同时,则same PID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0。
优选地,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
上述装置实施例中,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
本实施例将设备告警的威胁程序作为整个方案的起点,并基于匹配因子关联检索预先收集并按照网空威胁框架标记的海量行为库,进而定位威胁程序相关的衍生行为,最终形成完整行为链,有助于根除设备病毒威胁。
第三方面,本发明实施例还提供一种电子设备,能够构建威胁程序的全行为链。
图5为本发明电子设备一个实施例的结构示意图,上述电子设备可以包括:壳体51、处理器52、存储器53、电路板54和电源电路55,其中,电路板54安置在壳体51围成的空间内部,处理器52和存储器53设置在电路板54上;电源电路55,用于为上述电子设备的各个电路或器件供电;存储器53用于存储可执行程序代码;处理器52通过读取存储器53中存储的可执行程序代码来运行与可执行程序代码对应的程序,用于执行前述任一实施例所述的威胁程序全行为关联分析方法。
处理器52对上述步骤的具体执行过程以及处理器52通过运行可执行程序代码来进一步执行的步骤,可以参见本发明图1、2所示实施例的描述,在此不再赘述。
该电子设备以多种形式存在,包括但不限于:
(1)移动通信设备:这类设备的特点是具备移动通信功能,并且以提供话音、数据通信为主要目标。这类终端包括:智能手机(例如iPhone)、多媒体手机、功能性手机,以及低端手机等。
(2)超移动个人计算机设备:这类设备属于个人计算机的范畴,有计算和处理功能,一般也具备移动上网特性。这类终端包括:PDA、MID和UMPC设备等,例如iPad。
(3)便携式娱乐设备:这类设备可以显示和播放多媒体内容。该类设备包括:音频、视频播放器(例如iPod),掌上游戏机,电子书,以及智能玩具和便携式车载导航设备。
(4)服务器:提供计算服务的设备,服务器的构成包括处理器、硬盘、内存、***总线等,服务器和通用的计算机架构类似,但是由于需要提供高可靠的服务,因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
第四方面,本发明的实施例还提供计算机可读存储介质,所述计算机可读存储介质存储有一个或者多个程序,所述一个或者多个程序可被一个或者多个处理器执行,以实现前述任一实现方式所述的威胁程序全行为关联分析方法。
需要说明的是,在本文中,诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来,而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且,术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含,从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素,而且还包括没有明确列出的其他要素,或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下,由语句“包括一个……”限定的要素,并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述,各个实施例之间相同相似的部分互相参见即可,每个实施例重点说明的都是与其他实施例的不同之处。
尤其,对于方法实施例而言,由于其基本相似于装置实施例,所以描述的比较简单,相关之处参见装置实施例的部分说明即可。
为了描述的方便,描述以上装置是以功能分为各种单元/模块分别描述。当然,在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程,是可以通过计算机程序来指令相关的硬件来完成,所述的程序可存储于一计算机可读取存储介质中,该程序在执行时,可包括如上述各方法的实施例的流程。其中,所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory,ROM)或随机存储记忆体(Random AccessMemory,RAM)等。
以上所述,仅为本发明的具体实施方式,但本发明的保护范围并不局限于此,任何熟悉本技术领域的技术人员在本发明揭露的技术范围内,可轻易想到的变化或替换,都应涵盖在本发明的保护范围之内。因此,本发明的保护范围应以权利要求的保护范围为准。
Claims (10)
1.一种威胁程序全行为关联分析方法,其特征在于,包括:
若当前设备发现威胁程序,则提取威胁程序的预设项值;
基于预设项值构建匹配因子计算公式;所述预设项值包括:MD5、PID、文件路径名;所述基于预设项值构建匹配因子计算公式,具体包括:
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则sameMD5=1;当MD5不同时,则sameMD5=0;
当PID相同时,则samePID=1;当PID不同时,则samePID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0;
基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;具体包括:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库;
基于威胁程序及其衍生行为形成完整行为链;
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
2.如权利要求1所述的方法,其特征在于,所述基于威胁程序及其衍生行为形成完整行为链,具体包括:
在所述威胁数据空间中,寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,获得完整行为链。
3.如权利要求2所述的方法,其特征在于,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
4.如权利要求2-3任一所述的方法,其特征在于,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
5.一种威胁程序全行为关联分析装置,其特征在于,包括:
威胁程序发现模块,用于若当前设备发现威胁程序,则提取威胁程序的预设项值;
匹配因子构建模块,用于基于预设项值构建匹配因子计算公式;所述匹配因子构建模块,具体用于:
预设项值包括:MD5、PID、文件路径名;
匹配因子=sameMD5+(samePID+same文件路径名)/2;
其中,当MD5相同时,则sameMD5=1;当MD5不同时,则sameMD5=0;
当PID相同时,则samePID=1;当PID不同时,则samePID=0;
当文件路径名相同时,则same文件路径名=1;当文件路径名不同时,则same文件路径名=0;
衍生行为定位模块,用于基于匹配因子对威胁程序与海量行为库中的各数据进行关联检索,进而定位威胁程序相关的衍生行为;所述衍生行为定位模块,具体用于:
计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据;
将对应数据作为衍生行为记入威胁数据空间,将对应数据的预设项值存储至匹配数据空间;
基于匹配数据空间完成余下的关联检索,进而定位威胁程序其他衍生行为;
若威胁程序与海量行为库中的剩余数据之间的匹配因子均小于预设值,则关联检索行为终止;
其中,匹配数据空间为包含预设项值的容器;威胁数据空间为记录威胁程序及相关衍生行为的数据库;
完整行为链形成模块,用于基于威胁程序及其衍生行为形成完整行为链;
其中,所述海量行为库为主动防御端点预先收集,并基于网空威胁框架进行标记的设备运行过程中所有信息的数据库。
6.如权利要求5所述的装置,其特征在于,所述完整行为链形成模块,具体用于:
在所述威胁数据空间中,寻找最先触发威胁的初始威胁点的父行为,直至寻找威胁程序相关的无父行为标记为行为头;按照行为头的子数向下递归串联全行为;若定位到无子行为则标记为行为尾;去除相关联但无威胁的行为数据,获得完整行为链。
7.如权利要求6所述的装置,其特征在于,所述计算威胁程序与海量行为库中各数据之间的匹配因子,当匹配因子超过预设值,则从海量行为库中提取对应数据,具体包括:
当威胁程序与海量行为库中的某数据之间的匹配因子大于等于1,则从海量行为库中提取该条数据。
8.如权利要求6-7任一所述的装置,其特征在于,所述将对应数据作为衍生行为记入威胁数据空间,具体包括:
将对应数据作为衍生行为按照B+树形式存储至威胁数据空间;
当威胁数据空间大于预设上限,则落地储存为文件,一次开关机清理一次落地文件。
9.一种电子设备,其特征在于,所述电子设备包括:壳体、处理器、存储器、电路板和电源电路,其中,电路板安置在壳体围成的空间内部,处理器和存储器设置在电路板上;电源电路,用于为上述电子设备的各个电路或器件供电;存储器用于存储可执行程序代码;处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序,用于执行权利要求1-4任一所述的方法。
10.一种计算机可读存储介质,其特征在于,所述计算机可读存储介质存储有一个或者多个程序,所述一个或者多个程序可被一个或者多个处理器执行,以实现权利要求1-4任一所述的方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911316671.8A CN111027071B (zh) | 2019-12-19 | 2019-12-19 | 一种威胁程序全行为关联分析方法及装置 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201911316671.8A CN111027071B (zh) | 2019-12-19 | 2019-12-19 | 一种威胁程序全行为关联分析方法及装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN111027071A CN111027071A (zh) | 2020-04-17 |
CN111027071B true CN111027071B (zh) | 2024-05-24 |
Family
ID=70209708
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201911316671.8A Active CN111027071B (zh) | 2019-12-19 | 2019-12-19 | 一种威胁程序全行为关联分析方法及装置 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN111027071B (zh) |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN113032784B (zh) * | 2021-03-26 | 2023-07-21 | 安天科技集团股份有限公司 | 一种威胁处置方法、威胁处置工具和计算机可读介质 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6370648B1 (en) * | 1998-12-08 | 2002-04-09 | Visa International Service Association | Computer network intrusion detection |
US9998484B1 (en) * | 2016-03-28 | 2018-06-12 | EMC IP Holding Company LLC | Classifying potentially malicious and benign software modules through similarity analysis |
CN108875364A (zh) * | 2017-12-29 | 2018-11-23 | 北京安天网络安全技术有限公司 | 未知文件的威胁性判定方法、装置、电子设备及存储介质 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101350052B (zh) * | 2007-10-15 | 2010-11-03 | 北京瑞星信息技术有限公司 | 发现计算机程序的恶意行为的方法和装置 |
US10262131B2 (en) * | 2016-03-22 | 2019-04-16 | Symantec Corporation | Systems and methods for obtaining information about security threats on endpoint devices |
US10075457B2 (en) * | 2016-03-30 | 2018-09-11 | Fortinet, Inc. | Sandboxing protection for endpoints |
US10791133B2 (en) * | 2016-10-21 | 2020-09-29 | Tata Consultancy Services Limited | System and method for detecting and mitigating ransomware threats |
GB2574209B (en) * | 2018-05-30 | 2020-12-16 | F Secure Corp | Controlling Threats on a Computer System by Searching for Matching Events on other Endpoints |
-
2019
- 2019-12-19 CN CN201911316671.8A patent/CN111027071B/zh active Active
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6370648B1 (en) * | 1998-12-08 | 2002-04-09 | Visa International Service Association | Computer network intrusion detection |
US9998484B1 (en) * | 2016-03-28 | 2018-06-12 | EMC IP Holding Company LLC | Classifying potentially malicious and benign software modules through similarity analysis |
CN108875364A (zh) * | 2017-12-29 | 2018-11-23 | 北京安天网络安全技术有限公司 | 未知文件的威胁性判定方法、装置、电子设备及存储介质 |
Also Published As
Publication number | Publication date |
---|---|
CN111027071A (zh) | 2020-04-17 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN111030986B (zh) | 一种攻击组织溯源分析的方法、装置及存储介质 | |
CN108875364B (zh) | 未知文件的威胁性判定方法、装置、电子设备及存储介质 | |
CN111031017B (zh) | 一种异常业务账号识别方法、装置、服务器及存储介质 | |
US10282542B2 (en) | Information processing apparatus, information processing method, and computer readable medium | |
CN113973012B (zh) | 一种威胁检测方法、装置、电子设备及可读存储介质 | |
CN111027071B (zh) | 一种威胁程序全行为关联分析方法及装置 | |
CN110740117B (zh) | 仿冒域名检测方法、装置、电子设备及存储介质 | |
CN111027064A (zh) | 一种Linux平台下挖矿病毒防护及清除方法、装置及存储设备 | |
CN114372297A (zh) | 一种基于消息摘要算法校验文件完整性的方法及装置 | |
CN111027065B (zh) | 一种勒索病毒识别方法、装置、电子设备及存储介质 | |
CN112070161A (zh) | 一种网络攻击事件分类方法、装置、终端及存储介质 | |
CN108334778B (zh) | 病毒检测方法、装置、存储介质及处理器 | |
CN117061202A (zh) | 一种基于多源漏洞数据知识图谱的攻击链路生成方法 | |
CN114338102B (zh) | 安全检测方法、装置、电子设备及存储介质 | |
CN110611675A (zh) | 向量级检测规则生成方法、装置、电子设备及存储介质 | |
CN113987489A (zh) | 一种网络未知威胁的检测方法、装置、电子设备及存储介质 | |
CN116132101A (zh) | 一种验证威胁情报误报的方法、装置及电子设备 | |
JP2011076366A (ja) | コンテンツタグ収集方法、コンテンツタグ収集用プログラム、コンテンツタグ収集システム及びコンテンツ検索システム | |
CN114528552A (zh) | 基于漏洞的安全事件关联方法及相关设备 | |
CN114301699A (zh) | 行为预测方法及装置、电子设备和计算机可读存储介质 | |
CN113722705A (zh) | 一种恶意程序清除方法及装置 | |
CN108875363B (zh) | 一种加速虚拟执行的方法、装置、电子设备及存储介质 | |
CN112580038A (zh) | 反病毒数据的处理方法、装置及设备 | |
US20170154096A1 (en) | Data service system and electronic apparatus | |
JPWO2020174565A1 (ja) | 情報処理装置、情報処理方法、及びプログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |