[发明专利]基于虚拟机内外视图交叉比对恶意代码行为检测方法及系统

摘要

本发明提供一种基于虚拟机内外视图交叉比对恶意代码行为检测方法及系统，其中，包括虚拟机控制器启动虚拟机检测器，将分析目录的恶意代码发送给虚拟机检测器，并对虚拟机检测器进行控制；虚拟机检测器在运行恶意代码的同时，监视虚拟机内存的变化，同时记录运行痕迹，并形成原始报表，当原始报表生成完毕后，再将该报表发送到综合分析器；综合分析器对这些报表记录的恶意序列行为，综合分析行为事件属性元素间的关系以及行为上下文关系分析改恶意代码的恶意行为。本发明采用了多视角的动态行为实时监控方式获取对虚拟机系统的操作行为。

主权项

一种基于虚拟机内外视图交叉比对恶意代码行为检测方法，其特征在于，包括：虚拟机控制器启动虚拟机检测器，将分析目录的恶意代码发送给虚拟机检测器，并对虚拟机检测器进行控制；虚拟机检测器在运行恶意代码的同时，监视虚拟机内存的变化，同时记录运行痕迹，并形成原始报表，当原始报表生成完毕后，再将该报表发送到综合分析器；综合分析器对这些报表记录的恶意序列行为，综合分析行为事件属性元素间的关系以及行为上下文关系分析该恶意代码的恶意行为；具体包括下列步骤：步骤100：服务器接受用户提交的恶意代码，并将其保存到本地未检测的目录；步骤200：系统监控到未检测文件目录不为空，则启动虚拟机进程，待虚拟机启动完毕，上传未检测文件样本；同时启动虚拟机监视器，监控虚拟机内存运行的信息；步骤300：当虚拟机启动完毕，先创建一个进程，将系统信息收集单元加载起来，同时加载虚拟机监视器，当所有加载程序加载完毕，然后运行样本；步骤400：在执行完毕后，综合分析器根据虚拟机检测器发送的分析信息分析操作的恶意等级。