[发明专利]一种恶意文件检测方法及装置

说明书

本申请实施例公开一种恶意文件检测方法及装置。该方法中，首先将待检测的文件存储至待查文件库中；然后识别待查文件库中各个文件的文件类型，根据文件类型生成检测任务列表；在获取待查文件库中的目标文件之后，根据检测任务列表确定目标文件的运行环境，据此确定目标文件对应的文件检测器，该文件检测器设置在容器中；然后调用目标文件对应的文件检测器对目标文件进行检测。通过本申请实施例公开的方案，能够通过设置在容器中的文件检测器进行检测，而容器能够隔离待检测的文件和系统，即容器起到环境隔离的作用。因此，通过本申请实施例公开的方案进行恶意文件的检测，不会对系统造成损害，相对于现有技术，提高了系统的安全性。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种恶意文件检测方法及装置。

背景技术

恶意文件为恶意代码和恶意软件的统称，通常指未明确提示用户或未经用户许可的情况下，在终端(例如个人计算机、服务器和手机等)上运行，并在运行过程中破坏终端的系统及盗取用户信息的软件文件。其中，常见的恶意文件包括病毒、木马、蠕虫、挂马脚本和流氓软件等。为了保障终端的安全性，需要对恶意文件进行检测。

目前常用的恶意文件检测技术通常为启发式检测技术和主动防御检测技术。恶意文件运行时的行为模式和正常文件运行时的行为模式通常不同，例如，通过统计大量恶意文件的运行行为，发现恶意文件在运行时通常具有自启动、传播和文件窃取等行为。启发式检测技术利用恶意文件运行时的行为模式与正常文件运行时的行为模式的区别对各文件进行检测，确定各文件中是否存在恶意文件。另外，恶意文件在运行时，往往会调用系统中的部分应用程序编程接口(Application Programming Interface,API)，将这部分API称为关键API，主动防御技术通过对关键API进行hook，获取调用关键API的各个程序的参数，并根据该参数确定所述各个程序是否为恶意文件。

但是，发明人在本申请的研究过程中发现，若通过现有技术检测恶意文件，当检测到恶意文件时，恶意文件已经在系统中运行，运行过程中通常会对系统造成损害，降低了系统的安全性。

发明内容

为了解决通过现有技术检测恶意文件时，对系统造成损害，降低系统安全性的问题，本申请通过以下各个实施例公开一种恶意文件检测方法及装置。

在本发明的第一方面，公开一种恶意文件检测方法，包括：

将待检测的文件存储至待查文件库中；

识别所述待查文件库中各个文件的文件类型，并根据所述文件类型生成检测任务列表，其中，所述检测任务列表记录有所述各个文件分别对应的运行环境；

从所述待查文件库中依次选择目标文件，通过所述检测任务列表中记录的所述目标文件的运行环境，确定所述目标文件对应的文件检测器，其中，所述文件检测器设置在容器中；

调用所述目标文件对应的文件检测器对所述目标文件进行检测。

可选的，在所述识别所述待查文件库中各个文件的文件类型之前，还包括：

获取所述待查文件库中各个文件的哈希值；

将所述各个文件的哈希值分别与已知检测结果的各个文件的哈希值进行匹配；

若所述待查文件库中的第一文件的哈希值与已知检测结果的第二文件的哈希值相同，确定所述第一文件的检测结果与所述第二文件的检测结果相同，并将所述第一文件从所述待查文件库中删除。

可选的，在所述识别所述待查文件库中各个文件的文件类型之前，还包括：

检测所述待查文件库中各个文件是否包含恶意文件的特征码；

若所述待查文件库中的第三文件包含所述恶意文件的特征码，确定所述第三文件为恶意文件，并将所述第三文件从所述待查文件库中删除。