[发明专利]一种基于沙盒的病毒检测方法、系统及相关装置

说明书

本申请公开了一种基于沙盒的病毒检测方法，所述病毒检测方法包括将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告；提取第一行为分析报告中的病毒行为特征，并将病毒行为特征作为训练集训练分类模型；利用分类模型对可疑文件执行基于行为分析的病毒检测操作。本方法能够在保证检测准确率的前提下提高对于病毒的检测效率。本申请还公开了一种基于沙盒的病毒检测系统、一种计算机可读存储介质及一种基于沙盒的病毒检测装置，具有以上有益效果。

技术领域

本发明涉及网络安全技术领域，特别涉及一种基于沙盒的病毒检测方法、系统、一种计算机可读存储介质及一种基于沙盒的病毒检测装置。

背景技术

随着科技的进步信息技术已经广泛地应用于社会的各个层面，为人们的生产、生活带来的极大地便利。但是，随之而来的存在有计算机病毒对数据进行破坏或资源占用，病毒对网络安全产生了极大地危害。

现有技术中的杀毒软件主要是检测病毒文件是否存在病毒，对病毒文件进行特征匹配。但是黑客在使用病毒之前，会对病毒做各种免杀处理，因此常规的杀毒软件在病毒爆发的第一时间是很难检出病毒样本，因此现有技术中这种特征匹配进行检测的技术存在滞后性。

因此，如何在保证检测准确率的前提下提高对于病毒的检测效率是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种基于沙盒的病毒检测方法、系统、一种计算机可读存储介质及一种基于沙盒的病毒检测装置，能够在保证检测准确率的前提下提高对于病毒的检测效率。

为解决上述技术问题，本申请提供一种基于沙盒的病毒检测方法，该病毒检测方法包括：

将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告；

提取第一行为分析报告中的病毒行为特征，并将病毒行为特征作为训练集训练分类模型；

利用分类模型对可疑文件执行基于行为分析的病毒检测操作。

可选的，病毒行为特征包括网络行为特征、文件操作行为特征、进程和服务行为特征和模块加载行为特征。

可选的，将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告包括：

将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到病毒样本对应的病毒特征分析结果和正常样本对应的正常特征分析结果；

将病毒特征分析结果和正常特征分析结果进行对比分析得到第一行为分析报告。

可选的，还包括：

当接收到设备端发送的分类模型更新请求时，将当前周期生成的分类模型下发至设备端的设备端沙盒，以便设备端利用分类模型检测可疑文件是否为病毒文件。

可选的，设备端利用分类模型检测可疑文件是否为病毒文件包括：

当设备端检测到可疑文件时，将可疑文件输入至设备端沙盒并进行行为特征分析，得到第二行为分析报告；

利用分类模型对第二行为分析报告进行基于行为分析的病毒检测操作，并根据检测结果判断可疑文件是否为病毒文件。

本申请还提供了一种基于沙盒的病毒检测系统，该病毒检测系统包括：

报告生成模块，用于将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告；

模型训练模块，用于提取第一行为分析报告中的病毒行为特征，并将病毒行为特征作为训练集训练分类模型；

检测模块，用于利用分类模型对可疑文件执行基于行为分析的病毒检测操作。