[发明专利]针对大文件的病毒检测系统及方法

说明书

技术领域

本发明涉及计算机安全防护技术领域，具体涉及针对较大文件的病毒检测系统及方法。

背景技术

我们知道，计算机病毒是人为的特制程序代码，其具有自我复制能力，很强的感染性，一定的潜伏性，特定的触发性和很大的破坏性。现有最主要的病毒检测方法为特征码匹配的方法，通过对文件提取部分特征码，与病毒相应的特征进行比对，如果匹配则判定该文件为病毒文件，否则判定该文件至少不是该类病毒。

现有技术由于考虑到病毒本身的有效代码比较少，所以对于较大文件或超大文件(例如300M作为分界)，通常不进行病毒检测，直接认为是安全文件。然而，病毒与反病毒是作为一种技术对抗长期存在的，随着以上判毒规律被越来越多病毒制造者所熟知，随之而来的就是新型的、经过包装的病毒。病毒制造者会故意地将含有病毒代码的文件做大，其通常的做法是在病毒代码后加上大量的冗余数据，以逃过检测。

发明内容

本发明的目的是针对可能包含有病毒的大文件，提供一种相应的病毒检测系统及方法。实现上述目的的技术方案如下：

一种针对大文件的病毒检测系统，其特征在于，包括：

信息量检测模块，读取被检测文件，判断其信息量与数据量是否匹配，并分别相应生成文件正常初判信号给病毒判定模块或文件异常初判信号给文件结构检测模块；

文件结构检测模块，在接收到文件异常初判信号后启动，读取被检测文件，判断文件结构中是否存在超过一定比例的数据块，并分别相应生成文件正常提示信号或文件异常提示信号给病毒判定模块；

病毒判定模块，根据信息量检测模块提供的文件正常初判信号、文件结构检测模块提供的文件正常提示信号生成文件正常判定信号，或根据文件结构检测模块提供的文件正常提示信号生成文件正常判定信号。

一种针对大文件的病毒检测方法，其特征在于，包括以下步骤：(1)读取被检测文件；(2)计算被检测文件信息熵；(3)判断所得信息熵是否超过一设定的阈值K，是则判定文件非病毒并结束，否则进入步骤(4)；(4)再次读取该被检测文件；(5)分析被检测文件的文件结构，找到最大数据块；(6)判断所述最大数据块相对整个文件的比例是否超过阈值M，否则判定文件非病毒并结束，是则判定该被检测文件为病毒文件。

本发明的有益效果在于：先判断大文件的信息量是否正常，如果正常则判定该文件非病毒文件，如果信息量不正常则进一步分析文件的结构，如果文件结构中确实存在超过整个文件一定比例的数据块，则判定该文件包含有病毒，否则判定该文件非病毒文件。本发明简单实用，对现有大文件隐藏病毒的方式，有着很高的判毒效率及可靠性，且不需要运行可执行文件的情况下，就可以判断出文件是否为病毒文件。

附图说明

图1为本发明实施例提供的系统的主体构成框图。

图2为本发明实施例提供的系统中信息量检测模块的的构成框图。

图3为本发明实施例提供的系统中文件结构检测模块的的构成框图。

图4为本发明实施例提供的方法的主流程图。

具体实施方式

如图1所示，本实施例提供的针对大文件的病毒检测系统，包括信息量检测模块、文件结构检测模块及病毒判定模块，三者彼此间通信配合，下面详细说明各模块功能及配合关系。

如图2所示，信息量检测模块包括文件读取单元、信息熵计算单元、信息量比较单元及初判信号生成单元。文件读取单元用于读取被检测文件；信息熵计算单元用于对读取到的被检测文件进行信息量的计算；信息量比较单元用于将所得信息量与设定的阈值K比较；初判信号生成单元根据比较结果分别生成文件正常初判信号或文件异常初判信号，即当信息量低于所述阈值K时生成文件正常初判信号，并发给病毒判定模块，当信息量高于所述阈值K时生成文件异常初判信号，并发给文件结构检测模块(作为文件检测模块的功能启动信号)。上述信息量检测模块的基本工作原理是：我们知道，一个正常的文件，其信息量和数据量应该有一定的匹配关系，如果数据量很大而信息量很小时，该文件就是值得怀疑的，至少其中包含有大量的垃圾数据；如果信息量和数据量可以达到一定的匹配关系，则可以认为该文件是安全的(就目前病毒技术而言)。