[发明专利]基于私有网络信息放大的恶意代码自动分析方法及系统

权利要求书

1.一种基于私有网络信息放大的恶意代码自动分析方法，其特征在于，包括：

获取网络传送的文件，通过公有网络的检测系统进行检测，如果判定所述文件为恶意，则进行文件拦截；如果非恶意，则允许文件进入内网用户终端；

私有网络检测系统获取并判断用户终端收到的文件来源是否是已知的，如果是，则所述文件可以安全打开，否则将所述文件进行动态分析；

动态分析：运行并监控所述文件，判断所述文件是否恶意，如果是，则分析所述文件并对文件进行信息放大，同时进行文件过滤并发出告警；否则所述文件可以安全打开；

将放大后的信息部署到私有网络检测系统中，用于对内网进行追踪检测。

2.如权利要求1所述的方法，其特征在于，所述运行并监控所述文件，判断所述文件是否恶意具体为：将所述文件传送到指定分析虚拟机，并运行样本，样本运行结束后，输出监控日志，并分析监控日志的行为，如果存在恶意行为，则所述文件为恶意。

3.如权利要求1所述的方法，其特征在于，所述分析所述文件并对文件进行信息放大，具体为：总结所述文件的行为模式，提取所述文件的文件特征及行为特征，包括：版本信息、壳信息、网络操作、文件操作及注册表信息。

4.一种基于私有网络信息放大的恶意代码自动分析系统，其特征在于，包括：

公有网络检测服务器，用于获取网络传送的文件，通过公有网络的检测系统进行检测，如果判定所述文件为恶意，则进行文件拦截；如果非恶意，则允许文件进入内网用户终端；

私有网络检测服务器，包括私有云分析模块、动态分析模块及信息部署模块；

所述私有云分析模块用于获取并判断用户终端收到的文件来源是否是已知的，如果是，则所述文件可以安全打开，否则将所述文件提交到动态分析模块；

所述动态分析模块用于运行并监控所述文件，判断所述文件是否恶意，如果是，则分析所述文件并对文件进行信息放大，同时进行文件过滤并发出告警；否则所述文件可以安全打开；

信息部署模块，用于将放大后的信息部署到私有网络检测服务器中，用于对内网进行追踪检测。

5.如权利要求4所述的系统，其特征在于，所述动态分析模块运行并监控所述文件，判断所述文件是否恶意具体为：动态分析模块将所述文件传送到指定分析虚拟机，并运行样本，样本运行结束后，输出监控日志，并分析监控日志的行为，如果存在恶意行为，则所述文件为恶意。

6.如权利要求4所述的系统，其特征在于，所述分析所述文件并对文件进行信息放大，具体为：总结所述文件的行为模式，提取所述文件的文件特征及行为特征，包括：版本信息、壳信息、网络操作、文件操作及注册表信息。