[发明专利]文件行为分析方法及装置

说明书

技术领域

本发明涉及计算机领域，具体而言，涉及一种文件行为分析方法及装置。

背景技术

由于目前篡改系统文件或者感染用户文件的病毒一直不断出现，这种病毒对操作系统的安全构成了威胁。

相关技术中，对文件是否感染病毒的分析是通过文件特征值匹配识别病毒或者被感染文件。这种文件分析方法通过将程序、代码、数据中的部分或全部程序、代码、数据的特征数据信息与已有的特征数据信息进行比对，来判断程序、代码、数据是否为病毒。当程序、代码、数据为已出现的脚本病毒时，通过文件特征值进行匹配能够准确识别即匹配到。这种方式是一种明文比对的方式。

但是，通过文件特征值匹配识别病毒或者被感染文件存在如下问题：由于其基于已有特征数据信息进行比对，因此，该比对方式依赖于已有的特征数据信息的完整性。例如，这种方法无法识别病毒变种，对于识别部分加壳、加花或者混淆处理的病毒文件以及对于新病毒的识别也有非常大的困难，其中，加壳是指对可执行文件资源进行压缩，运行时自动解压缩运行，而静态反汇编无法查看被压缩的信息；加花是指在正常程序指令中间插入用于干扰反汇编器但是不影响程序运行的指令，可能是一些跳转或者一些无效代码；混淆处理是指将程序内部的一些可能存在的内部带有语义信息的内容替换为无意义信息的内容，比如将一些内部变量或者函数名等替换为不可读信息。另外，由于特征码提取的方式为提取部分已知样本中部分或者全部提取的代码段特征，因此可能会漏掉病毒的关键特征，甚至提取到正常文件特征。

针对相关技术中对文件行为的分析存在的问题，目前尚未提出有效的解决方案。

发明内容

本发明的主要目的在于提供一种文件行为分析方法及装置，以解决相关技术中对文件行为的分析存在的问题。

为了实现上述目的，根据本发明的一个方面，提供了一种文件行为分析方法，该方法包括：获取样本文件的操作记录信息，所述操作记录信息包括以下至少之一：所述样本文件运行期间的应用程序编程接口(Application Programming Interface，简称API）调用记录，所述样本文件运行前后的文件快照，其中，所述样本文件是待分析的文件，所述文件快照是所述样本文件所处系统中的文件的快照；根据所述操作记录信息获取所述样本文件对所述系统中的文件中的一个或多个文件进行操作的操作行为信息，以分析所述样本文件的行为。

优选地，根据所述操作记录信息获取所述样本文件对所述系统中的文件中的一个或多个文件进行操作的操作行为信息包括：根据所述API调用记录确定所述样本文件操作的所述一个或多个文件；根据对所述样本文件运行前后的文件快照的比对确定所述一个或多个文件的文件信息变化；根据所述文件信息变化获取所述样本文件对所述一个或多个文件进行操作的操作行为信息。

优选地，所述API调用记录包括以下至少之一：API参数，API返回值，API组合，API流；和/或所述操作行为信息包括以下至少之一：操作类型，文件类型，文件路径，感染顺序，感染方式，感染标记，其中，所述操作类型包括以下至少之一：读取操作、修改操作、比较操作。

优选地，所述文件信息变化包括以下至少之一：文件路径变化，文件哈希变化，文件日期变化，文件大小变化，可执行文件节信息变化，可执行文件的入口点信息变化，可执行文件资源信息变化，文件内容变化，压缩包文件的文件列表变化，所包含文件的文件信息变化。

优选地，获取所述样本文件的操作记录信息之前，所述方法还包括：在所述系统中放置探针文件，其中，所述探针文件是模拟用户存放的用户文件，用于试探所述样本文件的操作行为,所述系统中的文件包括所述探针文件和/或系统文件。

优选地，所述探针文件包括以下至少之一：可执行文件，批处理文件，脚本文件，文本标记语言文件，压缩文件，办公文档文件。

优选地，根据所述操作记录信息获取所述样本文件对所述系统中的文件中的一个或多个文件进行操作的操作行为信息之后，所述方法还包括：根据所述操作行为信息确定所述样本文件是否为病毒。

优选地，所述方法还包括：在确定所述样本文件是病毒的情况下，识别所述样本文件的感染方式，并根据所述感染方式确定所述样本文件的查杀方式和/或反推出所述一个或多个文件的修复还原方式。