[发明专利]未知病毒感染追溯方法、装置及系统

说明书

本发明提供了一种未知病毒感染追溯方法、装置及系统，涉及计算机的技术领域，包括：接收终端发送的监测文件的文件内容，并从文件内容中提取第一特征和第二特征；基于第一特征和第二特征，判断监测文件是否为疑似未知病毒文件；若是，则判断疑似未知病毒文件是否具有病毒行为特征；若具有，则将具有病毒行为特征的疑似未知病毒文件确定为未知病毒；接收所有终端上报的文件操作，基于未知病毒的第一特征的MD5值和文件操作的操作信息，查找未知病毒的传染源；基于传染源，按照各个未知病毒的传染时间顺序对所有的未知病毒进行排序，形成未知病毒的传播路径。本发明不但可以追溯未知病毒的来源还可以追溯未知病毒的传播路径。

技术领域

本发明涉及计算机技术领域，尤其是涉及一种未知病毒感染追溯方法、装置及系统。

背景技术

随着勒索病毒、挖矿木马等恶意软件的快速流行，各种新型病毒文件机器变种层出不穷，对于传统的杀毒软件构成了巨大的挑战。对于一个信息系统来说，发现和处理这种未知病毒是十分重要的，同时追溯未知病毒的来源和传播路径对于发现防护弱点并及时加固也同样重要。但是传统的杀毒软件仅对已知勒索病毒进行追溯，无法追溯未知病毒的来源和传播路径，进而无法发现信息系统的弱点，影响信息系统的最终加固。

发明内容

本发明的目的在于提供一种未知病毒感染追溯方法、装置及系统，不但可以追溯未知病毒的来源还可以追溯未知病毒的传播路径。

本发明提供的一种未知病毒感染追溯方法，其中，应用于未知病毒感染追溯引擎，包括：接收终端发送的监测文件的文件内容，并从所述文件内容中提取第一特征和第二特征；其中，所述第一特征为整体所述文件内容的MD5特征，所述第二特征为局部所述文件内容的MD5特征；基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件；若是，则将所述疑似未知病毒文件放到沙箱中进行处理，判断所述疑似未知病毒文件是否具有病毒行为特征；若具有，则将具有病毒行为特征的疑似未知病毒文件确定为未知病毒；接收所有终端上报的文件操作，基于所述未知病毒的第一特征的MD5值和所述文件操作的操作信息，查找所述未知病毒的传染源；基于所述传染源，按照各个所述未知病毒的传染时间顺序对所有的所述未知病毒进行排序，形成所述未知病毒的传播路径。

进一步的，基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件包括：基于所述第一特征，计算具有所述第一特征的文件的所在终端与所有终端的第一占比；若所述第一占比大于等于第一预设比值，则将所述监测文件确定为疑似未知病毒文件；若所述第一占比小于所述第一预设比值，则将所述监测文件确定为疑似正常文件；基于所述第二特征，计算具有所述第二特征的疑似正常文件的所在终端与所有终端的第二占比；若所述第二占比大于等于第二预设比值，则将所述疑似正常文件确定为所述疑似未知病毒文件。

进一步的，所述的未知病毒感染追溯方法还包括：若所述第二占比小于第二预设比值，则将所述疑似正常文件确定为正常文件。

本发明提供的一种未知病毒感染追溯装置，其中，应用于未知病毒感染追溯引擎，包括：接收模块，用于接收终端发送的监测文件的文件内容，并从所述文件内容中提取第一特征和第二特征；其中，所述第一特征为整体所述文件内容的MD5特征，所述第二特征为局部所述文件内容的MD5特征；判断模块，用于基于所述第一特征和所述第二特征，判断所述监测文件是否为疑似未知病毒文件；处理判断模块，用于若是，则将所述疑似未知病毒文件放到沙箱中进行处理，判断所述疑似未知病毒文件是否具有病毒行为特征；确定模块，用于若具有，则将具有病毒行为特征的疑似未知病毒文件确定为未知病毒；接收查找模块，用于接收所有终端上报的文件操作，基于所述未知病毒的第一特征的MD5值和所述文件操作的操作信息，查找所述未知病毒的传染源；排序模块，用于基于所述传染源，按照各个所述未知病毒的传染时间顺序对所有的所述未知病毒进行排序，形成所述未知病毒的传播路径。