[发明专利]恶意样本检测方法、装置、系统及存储介质

说明书

本发明公开了一种恶意样本检测方法、装置、系统及存储介质，该方法包括：启动虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志；分析在所述时间变速模式下的记录日志是否存在恶意行为；若所述记录日志存在恶意行为，则根据所述时间变速模式的类型判断所述被测样本的时间维度潜伏行为类型。本发明实现了通过时间变速快速触发恶意样本的时间潜伏行为，提高恶意样本动态行为分析效率和成功率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种恶意样本检测方法、装置、系统及存储介质。

背景技术

互联网时代的到来为人们的生活、学习和工作带来了极大的便利，但同时也伴随着越来越重要的网络安全问题，越来越多的恶意软件在网络上肆意横行，为人们的生活、学习和工作带来了很大的隐患，各大安全厂商都在寻求更好的恶意文件检测方法。

现有技术中的恶意样本动态行为分析，是将恶意样本运行于真实的计算机运行环境，通过分析日志信息来进行恶意样本判别的一种分析方法。但是当前绝大多数恶意软件、病毒或后门都具有时间维度潜伏特性，即感染宿主机器之后不会立即进行恶意操作，而是先潜伏起来运行一段时间后，才会执行恶意行为，动态行为分析的分析时间是固定的，而且相对较短，这样就很难捕获恶意样本的恶意行为，除非消耗大量的无用等待时间，以降低效率的方式增加分析正确率，即使这样，一些有长期潜伏行为的恶意样本，因为不可能无限期等待下去，是无法获取其恶意行为的。

发明内容

本发明的主要目的在于提供一种恶意样本检测方法、装置、系统及存储介质，旨在通过时间变速快速触发恶意样本的时间潜伏行为，提高恶意样本动态行为分析效率和成功率。

为实现上述目的，本发明提供一种恶意样本检测方法，所述恶意样本检测方法应用于虚拟机，所述恶意样本检测方法包括以下步骤：

在启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志；

分析在所述时间变速模式下的记录日志是否存在恶意行为；

若所述记录日志存在恶意行为，则根据所述时间变速模式的类型判断所述被测样本的时间维度潜伏行为类型。

可选地，所述时间变速模式包括线性变速模式，所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤之前包括：

设置线性变速模式的第一起始时刻、第一结束时刻和线性变速倍数；

所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤包括：

在所述第一起始时刻启动所述线性变速模式；

以预设正常速率的线性变速倍数的运行速率运行所述虚拟机至所述第一结束时刻；

获取所述被测样本在所述第一起始时刻与所述第一结束时刻之间的记录日志，作为被测样本在所述线性变速模式下的记录日志。

可选地，所述时间变速模式包括跳变变速模式，所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤之前包括：

设置跳变变速模式的第二起始时刻、第二结束时刻、跳过时间和第三结束时刻；

所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤包括：

在所述第二起始时刻启动所述跳变变速模式；

控制所述虚拟机跳过所述跳过时间运行至所述第二结束时刻；

在所述第二结束时刻，控制所述虚拟机以预设正常速率运行至第三结束时刻；