[发明专利]基于行为增量标识躲避的恶意对象

说明书

本申请的各实施方式涉及基于行为增量标识躲避的恶意对象。一种安全设备可以接收与对象相关联的实际行为信息。实际行为信息可以标识与在真实环境中执行对象相关联的第一行为集合。安全设备确定与对象相关联的测试行为信息。测试行为信息可以标识与在测试环境中测试对象相关联的第二行为集合。安全设备可以比较第一行为集合和第二行为集合以确定在第一行为集合和第二行为集合之间的差别。安全设备可以基于在第一行为集合和第二行为集合之间的差别标识对象是否为躲避的恶意对象。安全设备可以提供对象是否为躲避的恶意对象的指示。

分案申请说明

本申请是申请日为2015年3月27日、申请号为201510142620.3、名称为“基于行为增量标识躲避的恶意对象”的中国发明专利申请的分案申请。

技术领域

本发明涉及基于行为增量标识躲避的(evasive)恶意对象。

背景技术

安全设备可以被放置在用户设备和服务器设备(例如，与网站相关联的服务器设备)之间。安全设备可以被配置为检测(例如，使用URL名誉、黑名单、反病毒扫描、反恶意软件技术等)由服务器设备提供的恶意对象(例如，木马、蠕虫、间谍程序、包含漏洞利用的文件等)，并且可以被配置为阻止恶意对象被用户设备接收。

发明内容

根据一些可能的实现方式，一种安全设备可以包括一个或者多个处理器以：接收与对象相关联的实际行为信息，其中实际行为信息可以标识与在真实环境(liveenvironment)中执行对象相关联的第一行为集合；确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在测试环境中测试对象相关联的第二行为集合；比较第一行为集合和第二行为集合以确定在第一行为集合和第二行为集合之间的差别；基于在第一行为集合和第二行为集合之间的差别标识对象是否为躲避的恶意对象；以及提供对象是否为躲避的恶意对象的指示。

根据一些可能的实现方式，一种计算机可读介质可以存储一条或者多条指令，该一条或者多条指令当由一个或者多个处理器执行时，致使该一个或者多个处理器：确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在测试环境中测试对象相关联的测试行为集合；获得与对象相关联的实际行为信息，其中实际行为信息可以标识与在真实环境中执行或者安装对象相关联的实际行为集合；比较实际行为集合和测试行为集合以确定在实际行为集合和测试行为集合之间的差别；基于在实际行为集合和测试行为集合之间的差别确定对象是否为躲避的恶意对象；以及提供指示对象是否为躲避的恶意对象的信息。

根据一些可能的实现方式，一种方法可以包括：由安全设备接收与对象相关联的实际行为信息，其中实际行为信息可以标识与在用户设备上执行对象相关联的第一行为组；由安全设备确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在用户设备上测试对象相关联的第二行为组；由安全设备确定在第一行为组和第二行为组之间的差别；由安全设备基于在第一行为组和第二行为组之间的差别将对象标识为躲避的恶意对象；以及由安全设备提供与将对象标识为躲避的恶意对象相关联的信息。

附图说明

图1是在此描述的示例实现方式的概述的示图；

图2是在其中可以实现在此描述的系统和/或方法的示例环境的示图；

图3是图2的一个或者多个设备的示例组件的示图；

图4是用于确定与对象相关联的测试行为信息以及存储与对象相关联的测试行为信息的示例过程的流程图；

图5是与在图4中所示的示例过程有关的示例实现方式的示图；

图6是用于确定与对象相关联的实际行为信息以及提供实际行为信息的示例过程的流程图；

图7是与在图6中所示的示例过程有关的示例实现方式的示图；