CN114172703A - 一种恶意软件识别方法、装置、介质 - Google Patents

一种恶意软件识别方法、装置、介质 Download PDF

Info

Publication number
CN114172703A
CN114172703A CN202111424918.5A CN202111424918A CN114172703A CN 114172703 A CN114172703 A CN 114172703A CN 202111424918 A CN202111424918 A CN 202111424918A CN 114172703 A CN114172703 A CN 114172703A
Authority
CN
China
Prior art keywords
https
flow
malicious
software
hash value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202111424918.5A
Other languages
English (en)
Inventor
严超敏
范渊
刘博�
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
DBAPPSecurity Co Ltd
Original Assignee
DBAPPSecurity Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by DBAPPSecurity Co Ltd filed Critical DBAPPSecurity Co Ltd
Priority to CN202111424918.5A priority Critical patent/CN114172703A/zh
Publication of CN114172703A publication Critical patent/CN114172703A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了一种恶意软件识别方法、装置、介质，该恶意软件识别方法包括：获取待检测网络中的HTTPS流量，解析获取到的流量以得到识别信息，并对识别信息进行哈希运算以生成检测哈希值，由于识别信息均为公开内容，无需私钥即可生成检测哈希值，提高了识别恶意流量的成功率。将检测哈希值与数据库中存储的哈希值比对，判断该流量是否为恶意流量，其中，数据库用于存储恶意流量的哈希值，由于不同HTTPS流量的哈希值不同，可以准确根据哈希值判断当前检测流量是否为恶意流量。若该流量为恶意流量，则确定该流量对应的软件为恶意软件。由此可见，通过本申请提供的恶意软件检测方法，可以更准确的识别恶意软件，提高***安全性。

Description

一种恶意软件识别方法、装置、介质
技术领域
本申请涉及网络安全技术领域，特别是涉及一种恶意软件识别方法、装置、介质。
背景技术
随着计算机技术的快速发展，互联网日渐成为人们日常生活中不可或缺的一部分，网络上因此存在着大量用户隐私等具有经济价值的信息，恶意攻击者通过恶意软件等非法手段盗取信息以谋取利益，给互联网用户带来巨大的经济损失。
恶意软件通过超文本传输安全协议(Hyper Text Transfer Protocol overSecure Socket Layer，HTTPS)流量将信息发送给攻击者，HTTPS是一种具有数据包加密功能和服务器证书验证功能的流量传输方式，需要私钥才能够获取数据包内容。为了防范恶意软件的攻击，安全设备会对HTTPS流量进行检测，目前企业通常会设置HTTPS拦截代理以检测加密的HTTPS流量，拦截代理通过HTTPS私钥解析HTTPS流量并检查内容，从而判断HTTPS流量的发送者是否为恶意软件。但当未获取某一个HTTPS流量对应的私钥时，无法检测该HTTPS流量是否为恶意软件发送的流量，不能准确的识别恶意软件，安全性不足。
由此可见，如何更准确的识别恶意软件，是本领域技术人员亟需解决的问题。
发明内容
本申请的目的是提供一种恶意软件识别方法、装置、介质，用于识别设备中安装的软件是否为恶意软件。
为了解决上述技术问题，本申请提供了一种恶意软件识别方法，包括：
获取待检测网络中的HTTPS流量；
对所述HTTPS流量进行解析以获取识别信息，根据所述识别信息生成检测哈希值；
将所述检测哈希值与数据库中的哈希值比对，判断所述HTTPS流量是否为恶意HTTPS流量，其中，所述数据库用于所述存储恶意HTTPS流量的所述哈希值；
若所述HTTPS流量为恶意HTTPS流量，则确定所述HTTPS流量对应的软件为恶意软件。
优选的，生成所述数据库的过程包括：
获取软件集，所述软件集包含多个软件；
在模拟操作***中运行所述软件，若所述软件存在恶意行为，则将所述软件的名称和所述恶意HTTPS流量的哈希值保存至所述数据库。
优选的，所述根据所述识别信息生成检测哈希值，具体为：
将所述识别信息串联拼接生成识别字符串；
对所述识别字符串进行哈希计算以得到所述检测哈希值。
优选的，所述获取待检测网络中的HTTPS流量，具体为：
将安全设备通过旁路部署的方式部署到所述待检测网络中；
从所述安全设备中获取包含有所述HTTPS流量的镜像文件。
优选的，在所述获取待检测网络中的HTTPS流量的步骤前，还包括：
获取信任软件白名单；
判断待获取的所述HTTPS流量所对应的所述软件是否在所述信任软件白名单中；
如果是，则停止获取所述HTTPS流量；
如果否，则进入所述获取待检测网络中的HTTPS流量的步骤。
优选的，所述对所述HTTPS流量进行解析以获取识别信息的步骤前，还包括：
对所述HTTPS流量进行预处理。
优选的，所述确定所述HTTPS流量对应的软件为恶意软件的步骤后，还包括：
发出告警；
将所述恶意软件隔离。
为了解决上述技术问题，本申请还提供了一种恶意软件识别装置，包括：
获取模块：用于获取待检测网络中HTTPS的流量；
生成模块：用于对所述HTTPS流量进行解析以获取识别信息，根据所述识别信息生成检测哈希值；
判断模块：用于将所述检测哈希值与数据库中的哈希值比对，判断所述HTTPS流量是否为恶意HTTPS流量，若所述HTTPS流量为恶意HTTPS流量，则进入确定模块，其中，所述数据库用于所述存储恶意HTTPS流量的所述哈希值；
所述确定模块：用于确定所述HTTPS流量对应的软件为恶意软件。
为了解决上述技术问题，本申请还提供了另一种恶意软件识别装置，其特征在于，包括存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的恶意软件识别方法的步骤。
为了解决上述技术问题，本申请还提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的恶意软件识别方法的步骤。
本申请所提供的恶意软件识别方法，包括：获取待检测网络中的HTTPS流量，根据HTTPS协议对获取到的流量进行解析以获取公开识别信息，并对识别信息进行哈希运算以生成检测哈希值，由于识别信息均为公开内容，无需私钥即可获取HTTPS流量的检测哈希值，提高了识别恶意HTTPS流量的成功率。将获得的检测哈希值与数据库中存储的哈希值比对，判断HTTPS流量是否为恶意HTTPS流量，其中，数据库用于存储恶意HTTPS流量的哈希值，由于不同HTTPS流量的哈希值不同，因此可以准确根据哈希值判断当前检测HTTPS流量是否为恶意HTTPS流量。若HTTPS流量为恶意HTTPS流量，则确定HTTPS流量对应的软件为恶意软件。由此可见，通过本申请提供的恶意软件检测方法，可以更准确的识别恶意软件，提高***安全性。
此外，本申请所提供的恶意软件识别装置、介质，与上述方法对应，效果同上。
附图说明
为了更清楚地说明本申请实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的一种恶意软件识别方法的流程图；
图2为本申请实施例提供的一种数据库生成方法的流程图；
图3为本申请实施例提供的一种恶意软件识别装置的结构图；
图4为本申请实施例提供的另一种恶意软件识别装置的结构图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下，所获得的所有其他实施例，都属于本申请保护范围。
本申请的核心是提供一种恶意软件识别方法、装置、介质。
为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。
需要说明的是，本申请中提到的终端设备包括但不限于智能手机，电脑等。该终端设备可以运行软件，例如：游戏软件，购物软件，地图软件等，且该终端设备可以接入互联网，使软件的客户端可以与服务器进行流量交互。当用户在终端设备上使用软件时，软件会通过网络向服务发送流量数据。通过检测软件发送的流量数据是否为恶意流量，即可确定软件是否为恶意软件。
图1为本申请实施例提供的一种恶意软件识别方法的流程图，如图1所示，本申请提供的恶意软件识别方法，其特征在于，包括：
S10：获取待检测网络中的HTTPS流量。
恶意软件获取终端设备中保存的用户隐私等信息后，采用HTTPS通信协议对信息进行加密，在将加密后的恶意流量数据混杂在正常流量数据中发送至外界，从而实现盗取用户信息的目的，因此，为了检测恶意软件，需要对待检测网络中所有终端设备所发送的全部流量数据进行检测。
在具体实施中，可以通过串行部署的方式部署安全设备，以获取流量数据，再从中筛选HTTPS流量数据，对HTTPS流量进行处理后再将其发送至外网；也可以通过旁路部署的方式部署安全设备，获取包含HTTPS流量的镜像文件，以用于检测是否存在恶意流量。可以理解的是，待检测网络中除HTTPS流量外还包含其他未加密的流量数据，为了进一步提高网络的安全性，可以对网络中其他未加密的流量数据进行解析，判断其内容是否为恶意信息，若是，则确定该流量为恶意流量，进入S13。
需要注意的是，本实施例中的安全设备可以为单独的电子设备，将电子设备接入到待检测网络中以检测HTTPS流量是否为恶意流量，也可以在已接入待检测网络中的安全设备运行相应程序，以降低成本。
S11：对所述HTTPS流量进行解析以获取识别信息，根据所述识别信息生成检测哈希值。
可以理解的是，不同软件与外界的服务器通信时所发送的HTTPS流量的特征不同，根据HTTPS协议对获取到的HTTPS流量进行解析，获取HTTPS流量数据的识别信息，所述识别信息为流量数据公开的信息，包括：HTTPS版本号、流量数据可接受的密码、流量数据的扩展列表、HTTPS的椭圆曲线密码和椭圆曲线密码格式等字段。
在具体实施中，通过哈希函数以将HTTPS的识别信息转换成哈希值，其中，哈希函数是一个数学方程式，它可用文本(如电子邮件信息)来生成称为信息摘要的代码。著名的哈希函数如：MD4，MD5，SHS。通过哈希计算可以计算一个唯一值，用于标记所计算字符的唯一性。可以先将识别信息进行相应处理，以使生成的哈希值能更好的体现不同的流量数据的特征，例如：可以将识别信息按照版本号，可接受密码，扩展列表，椭圆曲线密码和椭圆曲线密码格式的顺序，将所有字符拼接在一起；可以按其他顺序将字符拼接在一起；或按固定规则对字符进行加密替换，根据加密后的字符生成检测哈希值。由于不同流量数据的识别信息不同，所以根据处理后的识别信息生成的检测哈希值也是不同的，使***能够根据检测哈希值判断流量是否为恶意流量。
S12：将所述检测哈希值与数据库中的哈希值比对，判断所述HTTPS流量是否为恶意HTTPS流量，其中，所述数据库用于所述存储恶意HTTPS流量的所述哈希值。
在具体实施中，数据库中存储有目前已经判断为恶意软件的软件信息和恶意软件所对应的HTTPS流量数据的哈希值，将获取到的检测哈希值与数据库中存储的恶意流量的哈希值做比对，判断获取到的HTTPS流量是否为恶意流量。
需要注意的是，为了提高恶意软件识别成功率，从而提高网络环境的安全性，还需要对数据库信息进行更新，将新发现的恶意软件和恶意软件所对应的HTTPS流量的哈希值保存到数据库中。在具体实施中，获取包含多个未经过检测软件的软件集，在模拟操作***中运行软件集中的软件，若其中某个软件存在恶意行为，则将该软件的名称和该软件所对应的恶意HTTPS流量的哈希值保存至数据库中。
可以理解的是，在根据HTTPS流量生成检测哈希值前，还可以对获取到的HTTPS流量进行预处理，例如：对HTTPS流量进行过滤和分类提取。在具体实施中，可以将流量信息与预先设置的过滤标签进行匹配，以便于后续处理。
为了加快安全设备的处理速度，还可以预先设置软件白名单，在获取HTTPS流量时，只获取不在白名单中的软件发送的流量数据。
S13：若HTTPS流量为恶意HTTPS流量，则确定HTTPS流量对应的软件为恶意软件。
可以理解的是，不同软件发送的HTTPS不同，***可以准确的确定某一HTTPS流量的发送者，从而实现识别恶意软件的目的。
数据库中的数据是否全面直接决定了识别恶意软件的成功率，在具体实施中，可以不断手动更新数据库中的信息，也可以将数据库接入网络，自动获取网络中公开的恶意软件的信息，以提高识别恶意软件的成功率，更好的保证网络安全。
在具体实施中，当发现恶意软件后，安全设备向管理员发出警告，并对恶意软件进行处理。例如：可以将恶意软件隔离；或将恶意软件卸载。管理员可以自行设置处理方式，此处不做限定。
在本实施中，提供了一种恶意软件识别方法，包括：获取待检测网络中的HTTPS流量，根据HTTPS协议对获取到的流量进行解析以获取公开识别信息，并对识别信息进行哈希运算以生成检测哈希值，由于识别信息均为公开内容，无需私钥即可获取HTTPS流量的检测哈希值，提高了识别恶意HTTPS流量的成功率。将获得的检测哈希值与数据库中存储的哈希值比对，判断HTTPS流量是否为恶意HTTPS流量，其中，数据库用于存储恶意HTTPS流量的哈希值，由于不同HTTPS流量的哈希值不同，因此可以准确根据哈希值判断当前检测HTTPS流量是否为恶意HTTPS流量。若HTTPS流量为恶意HTTPS流量，则确定HTTPS流量对应的软件为恶意软件。由此可见，通过本申请提供的恶意软件检测方法，可以更准确的识别恶意软件，提高***安全性。
图2为本申请实施例提供的一种数据库生成方法的流程图，如图2所示，在上述实施例的基础上，生成数据库的过程包括：
S20：获取软件集，软件集包含多个软件；
S21：在模拟操作***中运行软件，若软件存在恶意行为，则将软件的名称和恶意HTTPS流量的哈希值保存至数据库。
在具体实施中，***每隔预设时间周期从网络上或外接设备中获取新软件集，软件集中包括待检测的软件。获取软件集后，在模拟操作***中运行软件，以判断软件是否存在恶意行为。可以理解的是，模拟操作***是一种计算机软件，可以在现有的操作***上虚拟出一个操作环境，并在该虚拟操作环境中运行应用程序，而所有访问与改变***的活动将会被限制在该环境下，即虚拟***与实体***是隔离的，虚拟***中的活动不会造成实体***的改变，因此在模拟操作***中运行未检测的软件能够检测软件是否为恶意软件，且可以保护终端设备不受恶意软件的攻击，提高***安全性。
检测到恶意软件后，自待测网络中提取恶意软件所发送的HTTPS恶意流量数据，利用哈希函数处理恶意流量的公开识别信息，以生成哈希值，将恶意流量的哈希值和恶意流量所对应的恶意软件的名称存入数据库中，需要注意的是，本实施例中生成恶意流量的哈希值的方式与上述实施例中生成待检测HTTPS流量的检测哈希值的方式完全相同，以保证每条HTTPS流量数据都有唯一的哈希值，以便于判断某一流量是否为恶意流量。
在本实施例中，通过在模拟操作***中运行待检测软件以判断待检测软件是否为恶意软件，并将恶意软件和恶意软件发送的恶意流量的哈希值存入数据库中，以便于后续与待检测网络中的流量对比，判断获取到的HTTPS流量是否为恶意流量，防止恶意软件攻击终端设备造成损失。
在具体实施中，对HTTPS流量进行解析后能够获得大量的识别信息字段，例如：HTTPS版本号、流量数据可接受的密码、流量数据的扩展列表、HTTPS的椭圆曲线密码和椭圆曲线密码格式等字段。根据识别信息生成哈希值的过程中，将这些信息字段进行不同组合和处理，即可获得不同的哈希值。例如：按规定的顺序将识别信息串联拼接生成识别字符串；也可以对识别信息中的每个字符或数字进行加密处理，再根据加密后的字段生成识别字符串。为了保证每个HTTPS流量具有唯一的检测哈希值，需要对全部流量采用相同的处理方式以生成识别字符串。
在上述实施例的基础上，根据识别信息生成检测哈希值，具体为：
将识别信息串联拼接生成识别字符串；
对识别字符串进行哈希计算以得到检测哈希值。
可以理解的是，在串联生成识别字符串的过程中，使用“,”来分隔各个字段，使用“-”来分隔各个字段中的各个值。
在本实施例中，通过将获取到的识别信息串联拼接成识别字符串以生成检测哈希值，保证检测哈希值与HTTPS流量唯一对应，便于通过对比检测哈希值和数据库中的哈希值，判断待检测流量是否为恶意流量。同时，采用拼接生成字符串的方式可以节省计算资源，提高***运行速度。
在具体实施中，可以通过串行部署的方式部署安全设备，以获取流量数据，再从中筛选HTTPS流量数据，对HTTPS流量进行处理后再将其发送至外网；也可以通过旁路部署的方式部署安全设备，获取包含HTTPS流量的镜像文件，以用于检测是否存在恶意流量。
在上述实施例的基础上，获取待检测网络中的HTTPS流量，具体为：
将安全设备通过旁路部署的方式部署到待检测网络中；
从安全设备中获取包含有HTTPS流量的镜像文件。
需要注意的是，本实施例中的安全设备可以为实体的电子设备，也可以在终端设备中写入相应程序从而实现安全设备的功能。若采用实体的电子设备，则需要将电子设备接入到待检测网络中以检测HTTPS流量是否为恶意流量，则识别恶意软件的速度会大大提高，且能够更好的保护终端设备。相应的，若在已接入待检测网络中的终端运行相应程序可以降低***成本。
在本实施例中，将将安全设备通过旁路部署的方式部署到待检测网络中以获取包含有HTTPS流量的镜像文件，在不影响终端设备正常工作的基础上检测获取到的HTTPS流量是否为恶意流量，提高检测效率。
在具体实施中，终端设备中安装的软件可能存在已知的恶意行为，但由于特殊原因不能对这些软件进行处理；或某些软件为可信软件，无需对这些软件进行检测。为了满足这一需求，在上述实施例的基础上，在获取待检测网络中的HTTPS流量的步骤前，还包括：
获取信任软件白名单；
判断待获取的HTTPS流量所对应的软件是否在信任软件白名单中；
如果是，则停止获取HTTPS流量；
如果否，则进入获取待检测网络中的HTTPS流量的步骤。
需要注意的是，信任软件白名单可以为***自带的名单，也可以为用户自行设置的名单，在获取HTTPS流量时，只获取不在白名单中的软件发送的流量数据。
可以理解的是，区分信任软件与非信任软件的方法可以为在信任软件发送的HTTPS流量中添加标识符，安全设备检测到标识符后停止获取流量；也可以检测HTTPS流量中的***息判断该信息是否来自信任软件，若是，则停止获取流量。
在本实施例中，通过获取信任软件名单，只获取不在白名单中的软件发送的流量数据，提高识别恶意软件的效率，降低计算资源的消耗，同时保证终端设备上部分存在已知恶意行为软件的正常应用。
在具体实施中，为了提高安全设备识别恶意软件的效率，在上述实施例里的基础上，对HTTPS流量进行解析以获取识别信息的步骤前，还包括：
对HTTPS流量进行预处理。
在具体实施中，可以对HTTPS流量进行过滤和分类提取，将流量信息与预先设置的过滤标签进行匹配，以便于后续处理。
过滤标签可以包括以下几种：网络应用防火墙(Web ApplicationFirewal，WAF)标签、用户代理(UserAgent，UA)普通标签、UA特殊标签、恶意网际互连协议(InternetProtocol，IP)标签。WAF标签主要来自sqlmap、wafw00f等开源工具，UA普通标签主要来自sqlmap等一些扫描工具，恶意IP标签主要来自开源恶意IP地址库。UA特殊标签来自于开源的扫描器工具(sqlmap、hydra、WPScan等)、自制扫描器(python-request、ruby、java等)的UA特征。UA特殊标签标记的流量代表攻击的发起已经包含一定的先验知识，具有很强的针对性和很大的成功率，需要进行人工研判。恶意IP来自于开源的威胁情报，表示目前活跃的持续进行攻击行为的主机。跟踪这类标签流量，可以获取最新的漏洞情报，容易发现未知的攻击模式。无效攻击流量主要是WAF标签和UA普通标签过滤的恶意流量；特殊流量主要是特殊UA标签和恶意IP标签过滤的恶意流量。
可以理解的是，若恶意流量的任意特征与标签中的WAF标签相匹配，则将此恶意流量直接过滤；若恶意流量的UA特征与标签中的UA普通标签相匹配，则将对恶意流量进行过滤；若恶意流量的UA特征与UA特殊标签相匹配，则将对恶意流量单独进行提取分析；若恶意流量的IP地址特征与标签中的恶意IP标签相匹配，则将对此恶意流量单独进行提取分析。
在本实施例中，通过对获取到的HTTPS流量进行预处理，以便于后续对不同的HTTPS流量进行分类处理，从而提高识别恶意软件的效率。
在具体实施中，检测到恶意软件后，为了保证终端设备的安全，还需要对恶意软件进行处理。
在上述实施例的基础上，确定HTTPS流量对应的软件为恶意软件的步骤后，还包括：
发出告警；
将恶意软件隔离。
在检测到恶意软件后，为了不影响终端设备的正常工作，优先将恶意软件隔离，并向管理人员发送警告，并将该情况写入日志，便于维护人员检查。
在本实施例中，通过将恶意软件隔离，并向管理员发出警告的方式及时处理检测出的恶意软件，保护终端设备的安全，防止对用户造成损失。
在上述实施例中，对于恶意软件识别方法进行了详细描述，本申请还提供恶意软件识别装置对应的实施例。需要说明的是，本申请从两个角度对装置部分的实施例进行描述，一种是基于功能模块的角度，另一种是基于硬件的角度。
由于装置部分的实施例与方法部分的实施例相互对应，因此装置部分的实施例请参见方法部分的实施例的描述，这里暂不赘述。
图3为本申请实施例提供的一种恶意软件识别装置的结构图，如图3所示，恶意软件识别装置包括：
获取模块10：用于获取待检测网络中HTTPS的流量；
生成模块11：用于对HTTPS流量进行解析以获取识别信息，根据识别信息生成检测哈希值；
判断模块12：用于将检测哈希值与数据库中的哈希值比对，判断HTTPS流量是否为恶意HTTPS流量，若HTTPS流量为恶意HTTPS流量，则进入确定模块，其中，数据库用于存储恶意HTTPS流量的哈希值；
确定模块13：用于确定HTTPS流量对应的软件为恶意软件。
本实施例所提供的恶意软件识别装置，包括：获取待检测网络中的HTTPS流量，根据HTTPS协议对获取到的流量进行解析以获取公开识别信息，并对识别信息进行哈希运算以生成检测哈希值，由于识别信息均为公开内容，无需私钥即可获取HTTPS流量的检测哈希值，提高了识别恶意HTTPS流量的成功率。将获得的检测哈希值与数据库中存储的哈希值比对，判断HTTPS流量是否为恶意HTTPS流量，其中，数据库用于存储恶意HTTPS流量的哈希值，由于不同HTTPS流量的哈希值不同，因此可以准确根据哈希值判断当前检测HTTPS流量是否为恶意HTTPS流量。若HTTPS流量为恶意HTTPS流量，则确定HTTPS流量对应的软件为恶意软件。由此可见，通过本申请提供的恶意软件检测方法，可以更准确的识别恶意软件，提高***安全性。
图4为本申请另一实施例提供的恶意软件识别装置的结构图，如图4所示，一种恶意软件识别装置包括：存储器20，用于存储计算机程序；
处理器21，用于执行计算机程序时实现如上述实施例(恶意软件识别方法)获取信任软件名单的方法的步骤。
本实施例提供的终端设备可以包括但不限于智能手机、平板电脑、笔记本电脑或台式电脑等。
其中，处理器21可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器21可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器21也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器21可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器21还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。
存储器20可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器20还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。本实施例中，存储器20至少用于存储以下计算机程序201，其中，该计算机程序被处理器21加载并执行之后，能够实现前述任一实施例公开的恶意软件识别方法的相关步骤。另外，存储器20所存储的资源还可以包括操作***202和数据203等，存储方式可以是短暂存储或者永久存储。其中，操作***202可以包括Windows、Unix、Linux等。数据203可以包括但不限于恶意流量所对应的哈希值等。
在一些实施例中，恶意软件识别装置还可包括有显示屏22、输入输出接口23、通信接口24、电源25以及通信总线26。
本领域技术人员可以理解，图4中示出的结构并不构成对恶意软件识别装置的限定，可以包括比图示更多或更少的组件。
本申请实施例提供的恶意软件识别装置，包括存储器和处理器，处理器在执行存储器存储的程序时，能够实现上述的恶意软件识别方法。
最后，本申请还提供一种计算机可读存储介质对应的实施例。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上述方法实施例中记载的步骤。
可以理解的是，如果上述实施例中的方法以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上对本申请所提供的恶意软件识别方法、装置、介质进行了详细介绍。说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。
还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种恶意软件识别方法，其特征在于，包括：
获取待检测网络中的HTTPS流量；
对所述HTTPS流量进行解析以获取识别信息，根据所述识别信息生成检测哈希值；
将所述检测哈希值与数据库中的哈希值比对，判断所述HTTPS流量是否为恶意HTTPS流量，其中，所述数据库用于所述存储恶意HTTPS流量的所述哈希值；
若所述HTTPS流量为恶意HTTPS流量，则确定所述HTTPS流量对应的软件为恶意软件。
2.根据权利要求1所述的恶意软件识别方法，其特征在于，生成所述数据库的过程包括：
获取软件集，所述软件集包含多个软件；
在模拟操作***中运行所述软件，若所述软件存在恶意行为，则将所述软件的名称和所述恶意HTTPS流量的哈希值保存至所述数据库。
3.根据权利要求1所述的恶意软件识别方法，其特征在于，所述根据所述识别信息生成检测哈希值，具体为：
将所述识别信息串联拼接生成识别字符串；
对所述识别字符串进行哈希计算以得到所述检测哈希值。
4.根据权利要求1所述的恶意软件识别方法，其特征在于，所述获取待检测网络中的HTTPS流量，具体为：
将安全设备通过旁路部署的方式部署到所述待检测网络中；
从所述安全设备中获取包含有所述HTTPS流量的镜像文件。
5.根据权利要求1所述的恶意软件识别方法，其特征在于，在所述获取待检测网络中的HTTPS流量的步骤前，还包括：
获取信任软件白名单；
判断待获取的所述HTTPS流量所对应的所述软件是否在所述信任软件白名单中；
如果是，则停止获取所述HTTPS流量；
如果否，则进入所述获取待检测网络中的HTTPS流量的步骤。
6.根据权利要求1所述的恶意软件识别方法，其特征在于，所述对所述HTTPS流量进行解析以获取识别信息的步骤前，还包括：
对所述HTTPS流量进行预处理。
7.根据权利要求1至6任意一项所述的恶意软件识别方法，其特征在于，所述确定所述HTTPS流量对应的软件为恶意软件的步骤后，还包括：
发出告警；
将所述恶意软件隔离。
8.一种恶意软件识别装置，其特征在于，包括：
获取模块：用于获取待检测网络中HTTPS的流量；
生成模块：用于对所述HTTPS流量进行解析以获取识别信息，根据所述识别信息生成检测哈希值；
判断模块：用于将所述检测哈希值与数据库中的哈希值比对，判断所述HTTPS流量是否为恶意HTTPS流量，若所述HTTPS流量为恶意HTTPS流量，则进入确定模块，其中，所述数据库用于所述存储恶意HTTPS流量的所述哈希值；
所述确定模块：用于确定所述HTTPS流量对应的软件为恶意软件。
9.一种恶意软件识别装置，其特征在于，包括存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的恶意软件识别方法的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的恶意软件识别方法的步骤。
CN202111424918.5A 2021-11-26 2021-11-26 一种恶意软件识别方法、装置、介质 Withdrawn CN114172703A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111424918.5A CN114172703A (zh) 2021-11-26 2021-11-26 一种恶意软件识别方法、装置、介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111424918.5A CN114172703A (zh) 2021-11-26 2021-11-26 一种恶意软件识别方法、装置、介质

Publications (1)

Publication Number Publication Date
CN114172703A true CN114172703A (zh) 2022-03-11

Family

ID=80481158

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111424918.5A Withdrawn CN114172703A (zh) 2021-11-26 2021-11-26 一种恶意软件识别方法、装置、介质

Country Status (1)

Country Link
CN (1) CN114172703A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114491543A (zh) * 2022-04-19 2022-05-13 南京伟跃网络科技有限公司 一种针对新出现恶意代码的分析方法
CN114900363A (zh) * 2022-05-18 2022-08-12 杭州安恒信息技术股份有限公司 一种恶意网站识别方法、装置、电子设备及存储介质
CN115208801A (zh) * 2022-05-27 2022-10-18 奇安信科技集团股份有限公司 一种api协同识别方法、装置、电子设备、介质及产品
WO2024065446A1 (zh) * 2022-09-29 2024-04-04 西门子股份公司 一种ot设备中文件的识别方法、装置、***及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108092962A (zh) * 2017-12-08 2018-05-29 北京奇安信科技有限公司 一种恶意url检测方法及装置
CN109543408A (zh) * 2018-10-29 2019-03-29 卓望数码技术（深圳）有限公司 一种恶意软件识别方法和***
CN111310187A (zh) * 2020-04-01 2020-06-19 深信服科技股份有限公司 一种恶意软件的检测方法、装置、电子设备及存储介质
CN111368297A (zh) * 2020-02-02 2020-07-03 西安电子科技大学 隐私保护移动恶意软件检测方法、***、存储介质及应用

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108092962A (zh) * 2017-12-08 2018-05-29 北京奇安信科技有限公司 一种恶意url检测方法及装置
CN109543408A (zh) * 2018-10-29 2019-03-29 卓望数码技术（深圳）有限公司 一种恶意软件识别方法和***
CN111368297A (zh) * 2020-02-02 2020-07-03 西安电子科技大学 隐私保护移动恶意软件检测方法、***、存储介质及应用
CN111310187A (zh) * 2020-04-01 2020-06-19 深信服科技股份有限公司 一种恶意软件的检测方法、装置、电子设备及存储介质

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114491543A (zh) * 2022-04-19 2022-05-13 南京伟跃网络科技有限公司 一种针对新出现恶意代码的分析方法
CN114900363A (zh) * 2022-05-18 2022-08-12 杭州安恒信息技术股份有限公司 一种恶意网站识别方法、装置、电子设备及存储介质
CN114900363B (zh) * 2022-05-18 2024-05-14 杭州安恒信息技术股份有限公司 一种恶意网站识别方法、装置、电子设备及存储介质
CN115208801A (zh) * 2022-05-27 2022-10-18 奇安信科技集团股份有限公司 一种api协同识别方法、装置、电子设备、介质及产品
WO2024065446A1 (zh) * 2022-09-29 2024-04-04 西门子股份公司 一种ot设备中文件的识别方法、装置、***及存储介质

Similar Documents

Publication Publication Date Title
CN114172703A (zh) 一种恶意软件识别方法、装置、介质
US10176321B2 (en) Leveraging behavior-based rules for malware family classification
US9344457B2 (en) Automated feedback for proposed security rules
RU2680736C1 (ru) Сервер и способ для определения вредоносных файлов в сетевом трафике
CN109586282B (zh) 一种电网未知威胁检测***及方法
EP3646218A1 (en) Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10142343B2 (en) Unauthorized access detecting system and unauthorized access detecting method
CN112134897B (zh) 网络攻击数据的处理方法和装置
US20220159023A1 (en) System and method for detecting and classifying malware
US10601847B2 (en) Detecting user behavior activities of interest in a network
US20220294810A1 (en) Asset Remediation Trend Map Generation and Utilization for Threat Mitigation
US11762991B2 (en) Attack kill chain generation and utilization for threat analysis
CN113746781A (zh) 一种网络安全检测方法、装置、设备及可读存储介质
JP2023550974A (ja) イメージ基盤悪性コード検知方法および装置とこれを利用する人工知能基盤エンドポイント脅威検知および対応システム
CN113411297A (zh) 基于属性访问控制的态势感知防御方法及***
KR20230086538A (ko) APT (Advanced Persistent Threat) 공격 탐지 방법 및 장치
CN113660222A (zh) 基于强制访问控制的态势感知防御方法及***
CN112347484A (zh) 软件漏洞检测方法、装置、设备及计算机可读存储介质
WO2021130897A1 (ja) 分析装置、分析方法及び分析プログラムが格納された非一時的なコンピュータ可読媒体
CN116738369A (zh) 一种流量数据的分类方法、装置、设备及存储介质
KR102541888B1 (ko) 이미지 기반 악성코드 탐지 방법 및 장치와 이를 이용하는 인공지능 기반 엔드포인트 위협탐지 및 대응 시스템
EP3799367B1 (en) Generation device, generation method, and generation program
CN114584391A (zh) 异常流量处理策略的生成方法、装置、设备及存储介质
KR20050075950A (ko) 네트워크 자산의 취약성을 고려한 침입탐지시스템의로그최적화 장치
CN113965418A (zh) 一种攻击成功判定方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication
WW01 Invention patent application withdrawn after publication

Application publication date: 20220311