[发明专利]检测恶意文件的方法和设备

说明书

技术领域

本发明涉及网络安全技术领域，具体涉及检测恶意文件的方法和设备。

背景技术

随着互联网技术的发展，动画（Flash）文件等广泛应用于创建网络上多媒体应用程序，包括丰富的视频、声音、图形和动画等。目前，绝大多数浏览器都内置或者支持安装Flash文件播放插件（例如Adobe Flash Player），用于播放网页上的Flash文件。其中，恶意Flash文件可能携带恶意链接，因此运行恶意Flash文件可能影响数据和系统安全。

目前，针对Flash文件常见的检测方法是计算Flash文件的Hash值，然后将其与预先收集的恶意Flash文件的Hash值进行比较，如果匹配上，则判定该Flash文件为恶意文件；否则，认为该Flash文件是安全的。

本发明的发明人研究和实践发现，现有技术至少存在以下技术问题：

由于文件（例如Flash文件）的Hash值具有唯一性，黑客只需每次在生成恶意文件时随机的插入一些的无效代码，即可批量生成Hash值截然不同的恶意文件，从而绕过基于文件Hash值的检测机制。或者，即使检测系统可以持续补充恶意文件的Hash值，但是由于理论上黑客可以生成无数多个Hash值不同的恶意文件，因此，现有机制也可能会造成检测系统收集到的恶意文件Hash值越来越多而难于管理维护，降低了方案可行性。

发明内容

本发明实施例提供检测恶意文件的方法和设备，以期提高恶意文件检测的灵活性、准确性和方案可行性。

本发明实施例一方面提供一种检测恶意文件的方法，可包括：

获取待检测的文件；

若解析出所述文件中包含引用标签，将所述引用标签包含的属性值与预置的恶意文件判定模型进行匹配，若匹配成功，则确定所述文件为恶意文件或疑似恶意文件。

本发明实施例另一方面提供一种用户终端，可包括：

获取单元，用于获取待检测的文件；

匹配单元，若解析出所述获取单元获取的文件中包含引用标签，将所述引用标签包含的属性值与预置的恶意文件判定模型进行匹配；

确定单元，用于若所述匹配单元匹配成功，则确定所述文件为恶意文件或疑似恶意文件。

由上可见，本发明实施例提供的检测恶意文件方案中，若解析出获取的待检测的文件中包含引用标签，将该引用标签包含的属性值与预置的恶意文件判定模型进行匹配，若匹配成功则确定该文件为恶意文件或疑似恶意文件。由于是根据文件中包含引用标签中的属性值，来判定其是否为恶意文件或疑似恶意文件，而发明人研究发现引用标签中的属性值不会被任意设置，引用标签中的属性值具有很强的标识作用，因此，这相对现有技术利用文件Hash值判定而言就有利于提升检测的灵活性和可靠性，并且也并不一定需要依赖海量Hash值的维护，可行性更高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供一种检测恶意文件的方法的流程示意图；

图2是本发明实施例提供另一种检测恶意文件的方法的流程示意图；

图3是本发明实施例提供的一种用户终端的示意图；

图4是本发明实施例提供的另一种用户终端的示意图；

图5是本发明实施例提供的一种安全防护系统的示意图。

具体实施方式

本发明实施例提供一种检测恶意文件的方法和设备，以期提高恶意文件检测的灵活性、准确性和方案可行性。

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

以下分别进行详细说明。