[实用新型]恶意程序发布检测系统

权利要求书

1.一种恶意程序发布检测系统，所述系统包括恶意程序发布检测装置，其特征在于，所述装置包括：

数据采集模块，采集用于发起文件下载的HTTP请求消息，从所述HTTP请求消息中提取摘要信息；

特征匹配模块，将所述摘要信息与恶意和安全网站识别库中的识别信息进行匹配；

分类处理模块，如果匹配不成功，则使用决策分类器对所述摘要信息进行分类处理，确定所述摘要信息为对于可疑恶意网站的摘要信息或对于可信网站的摘要信息；

发布信息确定模块，如果确定所述摘要信息为对于可疑恶意网站的摘要信息，则基于与此摘要信息对应的HTTP请求消息生成对于此可疑恶意网站的可疑恶意资源的下载连接信息；将多个所述可疑恶意资源的下载连接信息进行关联处理，确定可疑恶意资源的网络发布信息。

2.如权利要求1所述的系统，其特征在于，

所述特征匹配模块，如果所述摘要信息与所述恶意和安全网站识别库中的特征信息匹配成功，则确定所述摘要信息为对于恶意网站或对于可信网站的摘要信息，并将此摘要信息按照预设比例作为训练样本和测试样本对所述决策分类器进行训练。

3.如权利要求2所述的系统，其特征在于，

所述特征匹配模块，从摘要信息中提取识别信息，将所述识别信息分别与所述安全网站识别库中预设的恶意网站识别信息和可信网站识别信息进行匹配；如果所述识别信息与所述恶意网站识别信息或所述可信网站识别信息匹配成功，则确定所述摘要信息为对于恶意网站或对于可信网站的摘要信息；其中，所述识别信息包括：域名、URL、IP地址。

4.如权利要求1所述的系统，其特征在于，

所述数据采集模块，基于预设的提取规则从所述HTTP请求中提取摘要信息；其中，所述摘要信息包括域名、URL、源IP地址、目的IP地址、端口号、URI、用户代理头字段中的至少一个以及下载文件前K个字节内容的哈希值，K为配置参数。

5.如权利要求3所述的系统，其特征在于，

所述特征匹配模块，如果所述摘要信息与所述恶意和安全网站识别库中的特征信息没有匹配成功，则获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息；将所述摘要信息和所述特征信息输入到所述决策分类器进行分类处理。

6.如权利要求5所述的系统，其特征在于，

所述特征匹配模块，获得与所述摘要信息中的同一个URI相关联的文件下载记录；如果确定与所述文件下载记录对应的不同下载文件的数量大于预设的文件数量阈值，则将所述文件下载记录作为关于文件变异的特征信息。

7.如权利要求5所述的系统，其特征在于，

所述特征匹配模块，获取与所述摘要信息中的IP地址相同但域名不同的文件下载记录；利用聚类的方法发现内容发布网络，统计与此下载记录相对应的可疑内容发布网络的特征信息，其中，所述关于可疑内容发布网络的特征信息包括：顶级域名数量、URI路径数量、文件数量、文件类型。

8.如权利要求5所述的系统，其特征在于，

所述特征匹配模块，查询历史下载记录，如果确定所述摘要信息中的域名、IP地址和下载可执行文件仅与一个URI相对应，并且该URI只包括一个HTML网页，则确定此摘要信息为与其对应的可疑恶意资源通过专用主机下载的特征信息。

9.如权利要求5所述的系统，其特征在于，

所述特征匹配模块，获取与所述摘要信息中的目的IP地址和用户代理，查找与同一IP地址联系了一次以上且使用了不同的用户代理的记录，并统计用户代理相关的可执行文件下载的数量，作为关于漏洞利用的特征信息。

10.如权利要求4所述的系统，其特征在于，

所述发布信息确定模块，基于与摘要信息对应的HTTP请求消息生成可疑恶意资源的下载连接网络节点图，其中，所述下载连接网络节点图中的节点包括：IP地址、域名、URL路径、文件名和下载文件。