[发明专利]一种病毒识别防御方法、装置、存储介质及设备

说明书

本申请涉及一种病毒识别防御方法、装置、存储介质及设备，方法包括：通过主机行为分析，识别恶意程序；对恶意程序的日志进行识别，确定恶意程序的攻击行为；根据恶意程序的攻击行为，采用对应的预设策略对恶意程序的攻击行为进行防御。本发明通过主机行为分析，识别恶意程序，并基于对恶意程序的日志进行识别，以确定恶意程序产生的各种行为动作以及其影响和意图，最终确定攻击行为，以便采用对应的应对策略对该攻击行为进行有效防御，从而实现对未知勒索病毒进行准确识别和联动防御。

技术领域

本申请涉及网络安全技术领域，特别涉及一种病毒识别防御方法、装置、存储介质及设备。

背景技术

近几年勒索病毒广泛传播，各种加密和索要赎金的安全事件频发。尤其是工业生产企业的工业主机，被加密后的主机无法使用，直接关系到企业的生产是否可以继续，所以对工业企业的勒索更加行之有效。

然而，目前传统的主机防护软件一般基于特征对已知病毒进行识别、查杀，但是工业控制网络一般与外界采取物理或逻辑隔离，无法实时更新病毒库，对于未更新或新出现的，即特征不在特征库的勒索病毒，就无法使用传统的主机防护软件防护。

发明内容

基于此，本发明的目的是提供一种病毒识别防御方法、装置、存储介质及设备，旨在解决目前无法对未知勒索病毒进行准确识别和联动防御的问题。

根据本发明实施例的一种病毒识别防御方法，所述方法包括：

通过主机行为分析，识别恶意程序；

对所述恶意程序的日志进行识别，确定所述恶意程序的攻击行为；

根据所述恶意程序的攻击行为，采用对应的预设策略对所述恶意程序的攻击行为进行防御。

另外，根据本发明上述实施例的一种病毒识别防御方法，还可以具有如下附加的技术特征：

优选地，所述通过主机行为分析，识别恶意程序的步骤包括：

通过主机追踪技术收集系统日志；

根据所述系统日志及系统对象调用关系，生成调用关系图；

采用图聚类方法对所述调用关系图进行聚类，识别出所述恶意程序产生的社区。

优选地，对所述恶意程序的日志进行识别，确定所述恶意程序的攻击行为的步骤包括：

根据所述恶意程序的日志所针对的数据类型，对所述恶意程序的日志进行分类；

采用所述恶意程序的日志所属的目标类别对应的预设攻击行为判定规定，确定所述恶意程序的攻击行为。

优选地，所述目标类别中包含多个预设子事件，采用所述恶意程序的日志所属的目标类别对应的预设攻击行为判定规定，确定所述恶意程序的攻击行为的步骤包括：

计算所述恶意程序的日志触发所述预设子事件的数量占所述预设子事件总数的比率，得到匹配度；

判断所述匹配度是否大于阈值；

若是，则判定所述恶意程序存在对所述目标类别对应的数据类型的攻击行为。

优选地，所述目标类别中包含多个预设子事件，采用所述恶意程序的日志所属的目标类别对应的预设攻击行为判定规定，确定所述恶意程序的攻击行为的步骤包括：

判断所述恶意程序的日志是否触发所述预设子事件；

若是，则判定所述恶意程序存在与所述预设子事件对应性质的攻击行为。

优选地，所述预设策略包括启动网络防火墙、流量阻断、和端口/IP屏蔽。

优选地，通过主机行为分析，识别恶意程序的步骤包括：