[发明专利]一种基于字符串调整权值的恶意代码检测方法及系统

说明书

技术领域

本发明涉及恶意代码检测技术，特别涉及一种基于字符串调整权值的恶意代码检测方法。

背景技术

随着近些年“震网蠕虫”、“dequ”“红色十月”等网络安全事件的爆发，高级可持续攻击引起了世界范围的关注。传统恶意代码检测、识别手段通常是通过静态特征码扫描方式来识别病毒，该方法由于计算机病毒技术成熟，且恶意代码片段普遍流传及恶意代码的可配置性较强、复制率高等特点，让传统的恶意代码识别技术检测率相对较高。但由于高级可持续攻击大多经过组织周密编写，且不采取互联网普遍流传的恶意代码片段特征，因此导致其使用传统静态特征码检测方法难以识别。

发明内容

本发明提供了一种基于字符串调整权值的恶意代码检测方法及系统，通过本发明的方法，解决了静态特征码检测方式字符串固定，无法应对高级可持续攻击的问题，使字符串能够根据黑白名单随时调整，形成高准确度的字符串库。

一种基于字符串调整权值的恶意代码检测方法，包括：可疑程序检测及字符串库更新；

所述可疑程序检测包括：

建立字符串库，并设定每个字符串的权值；所述字符串可以为恶意代码路径、访问网络域名、网络IP或互斥量等；

检测可疑程序，将所述可疑程序与字符串库中的字符串比对，并累计字符串匹配数量；

判断字符串匹配数量是否超过预设值，如果是，则认为所述可疑程序为恶意，向用户报警，并将所述可疑程序的其他字符串添加到字符串库中，设定字符串权值；否则继续等待检测可疑程序；

字符串库更新，主要是通过将字符串库中的字符串，定期与白名单和黑名单中的字符串对比，调整每个字符串所对应权值，来保证字符串库的准确度，提高检测精度。所述字符串库更新包括：

根据预设时间间隔，将已知白名单中的字符串与字符串库中的字符串比对，将字符串库中与白名单相同字符串的权值减1； 

判断所述字符串权值是否低于预设值，如果是，则认为所述字符串可信，将所述字符串从字符串库中清除，否则进行黑名单比对；

根据预设时间间隔，将已知黑名单中的字符串与字符串库中的字符串比对，将字符串库中与黑名单相同字符串的权值加1；

判断黑名单中是否有新增字符串，如果是，则将所述字符串增加到字符串库中，并设定字符串权值，否则继续等待下一次比对。

所述的方法中，所述设定每个字符串的权值根据字符串的威胁程度任意设定。

所述的方法中，所述可疑程序的其他字符串为：可疑程序中除字符串库中已知字符串外的字符串。

一种基于字符串调整权值的恶意代码检测系统，包括：可疑程序检测模块及字符串库更新模块；

所述可疑程序检测模块包括：

字符串库模块，用于建立存储字符串库，并设定每个字符串的权值；

检测模块，用于检测可疑程序，将所述可疑程序与字符串库中的字符串比对，并累计字符串匹配数量；

判断模块，用于判断字符串匹配数量是否超过预设值，如果是，则认为所述可疑程序为恶意，向用户报警，并将所述可疑程序的其他字符串添加到字符串库模块的字符串库中，设定字符串权值；否则继续等待检测可疑程序；

所述字符串库更新模块包括：

白名单模块，用于根据预设时间间隔，将已知白名单中的字符串与字符串库中的字符串比对，将字符串库中与白名单相同字符串的权值减1； 

判断所述字符串权值是否低于预设值，如果是，则将所述字符串从字符串库中清除，否则进行黑名单比对；

黑名单模块，用于根据预设时间间隔，将已知黑名单中的字符串与字符串库中的字符串比对，将字符串库中与黑名单相同字符串的权值加1；

判断黑名单中是否有新增字符串，如果是，则将所述字符串增加到字符串库中，并设定字符串权值，否则继续等待下一次比对。

所述的系统中，所述设定每个字符串的权值根据字符串的威胁程度任意设定。

所述的系统中，所述可疑程序的其他字符串为：可疑程序中除字符串库中已知字符串外的字符串。

本发明的方法及系统优势在于，能够在对可疑程序检测过程中，自动向字符串库中添加字符串，并且通过设置权值，通过白名单及黑名单自动调节权值，使恶意代码误报率降低。同时自动添加字符串及自动调节权值的方式，也解决了以往手动更新的耗时耗力。