[发明专利]未知文件样本安全性鉴定的方法及装置

权利要求书

1.一种未知文件样本安全性鉴定的方法，其特征在于，包括：

接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

根据所述特征，查询所述未知文件样本是否在预设白名单中；

若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

2.根据权利要求1所述的方法，其特征在于，所述特征包括：第一子特征和第二子特征；相应的，

所述根据所述特征，查询所述未知文件样本是否在预设白名单中，具体为：

根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果，具体为：

根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

3.根据权利要求2所述的方法，其特征在于，所述第一子特征包括：文件的消息摘要算法第5版MD5信息及文件的安全哈希算法SHA1信息。

4.根据权利要求2所述的方法，其特征在于，所述第二子特征包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA。

5.根据权利要求1～3中任一所述的方法，其特征在于，所述安全性鉴定结果为鉴定分数；相应的，

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果之后，还包括：

判断所述鉴定分数是否大于或等于预设分数；

若大于或等于，则所述未知文件样本为安全文件；

否则，所述未知文件为不安全文件。

6.根据权利要求1～3中任一所述的方法，其特征在于，还包括：

接收客户端发送的更新数据包，并预加载所述更新数据包；

采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

若得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同，则加载所述更新数据包，以更新所述预设的鉴定策略。

7.一种未知文件样本安全性鉴定装置，其特征在于，设置在服务器侧，其包括：

接收模块，用于接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

查询模块，用于根据所述特征，查询所述未知文件样本是否在预设白名单中；

鉴定模块，用于当未知文件样本不在预设白名单中时，根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

8.根据权利要求7所述的装置，其特征在于，所述特征包括：第一子特征和第二子特征；相应的，

所述查询模块，具体用于根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述鉴定模块，具体用于根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

9.根据权利要求7或8所述的装置，其特征在于，所述安全性鉴定结果为鉴定分数；相应的，所述未知文件样本安全性鉴定装置还包括：

判断模块，用于判断所述鉴定分数是否大于或等于预设分数，若大于或等于，则所述未知文件样本为不安全文件；否则，所述未知文件为安全文件。

10.根据权利要求7或8所述的装置，其特征在于，还包括：

预加载模块，用于接收客户端发送的更新数据包，并预加载所述更新数据包；

所述鉴定模块，还用于采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

加载模块，用于当得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同时，加载所述更新数据包，以更新所述预设的鉴定策略。