[发明专利]基于行为增量标识躲避的恶意对象

摘要

本发明涉及基于行为增量标识躲避的恶意对象。一种安全设备可以接收与对象相关联的实际行为信息。实际行为信息可以标识与在真实环境中执行对象相关联的第一行为集合。安全设备确定与对象相关联的测试行为信息。测试行为信息可以标识与在测试环境中测试对象相关联的第二行为集合。安全设备可以比较第一行为集合和第二行为集合以确定在第一行为集合和第二行为集合之间的差别。安全设备可以基于在第一行为集合和第二行为集合之间的差别标识对象是否为躲避的恶意对象。安全设备可以提供对象是否为躲避的恶意对象的指示。

主权项

一种安全设备，包括：一个或者多个处理器，用于：从用户设备接收与对象相关联的实际行为信息，所述实际行为信息标识与在所述用户设备、在真实环境中执行所述对象相关联的第一行为集合；接收与在所述真实环境中执行所述对象相关联的存储器快照，所述存储器快照对应于与在所述真实环境中执行所述对象相关联的存储器空间；基于所述存储器快照执行所述对象的分析，执行所述分析以使得在所述安全设备、在测试环境内重新建立所述存储器空间，并且所述分析与标识所述对象是否为躲避的恶意对象相关联；确定与所述对象相关联的测试行为信息，所述测试行为信息标识与在所述测试环境中测试所述对象相关联的第二行为集合，并且所述测试环境包括沙盒环境；比较所述第一行为集合和所述第二行为集合以确定在所述第一行为集合和所述第二行为集合之间的差别；基于在所述第一行为集合和所述第二行为集合之间的所述差别标识所述对象是否为所述躲避的恶意对象，所述对象基于以下各项被标识为所述躲避的恶意对象：所述第一行为集合包括恶意行为，以及所述第二行为集合不包括所述恶意行为；以及基于将所述对象标识为所述躲避的恶意对象提供所述对象为所述躲避的恶意对象的指示。