[发明专利]未知文件样本安全性鉴定的方法及装置

说明书

技术领域

本发明涉及一种网络安全领域，特别是涉及一种未知文件样本安全性鉴定的方法及装置。

背景技术

恶意程序(通常称为病毒)指任何故意创建用来执行未经授权并通常是有害行为的程序。恶意程序包括：计算机病毒、后门程序、键盘记录器、密码盗取者、Word和Excel宏病毒、引导区病毒、脚本病毒、木马、犯罪软件、间谍软件和广告软件等。

现有云查杀技术大致如下：客户端不用建立病毒库，而主要负责扫描和发现本地的未知文件样本(即安全性不能确定的文件样本)；客户端提取扫描出的未知文件样本的特征，并上传至服务器端，通过查询服务器端的病毒库，来确定所述未知文件样本的安全性。

现有云查杀技术，由于服务器端的病毒库有限，很有可能出现如下问题：服务器端根据客户端上报的新文件特征通过查询病毒库也无法确定文件的安全性。这些无法确定安全的可疑文件中，可能是未知的木马和病毒，对客户端会造成极大的安全威胁。

发明内容

本发明的主要目的在于，提供一种未知文件样本安全性鉴定的方法及装置，以使鉴定结果可靠性高。

本发明第一个方面提供一种未知文件样本安全性鉴定的方法，包括：

接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

根据所述特征，查询所述未知文件样本是否在预设白名单中；

若不在所述预设白名单中，则根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述特征包括：第一子特征和第二子特征；相应的，

所述根据所述特征，查询所述未知文件样本是否在预设白名单中，具体为：

根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果，具体为：

根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述第一子特征包括：文件的消息摘要算法第5版MD5信息及文件的安全哈希算法SHA1信息。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述第二子特征包括：文件本身的内容信息、文件的环境功能信息、文件的属性信息、文件的行为信息、路径、文件特征FileDNA及图标特征IconDNA。

可选的，前述的未知文件样本安全性鉴定的方法，其中，所述安全性鉴定结果为鉴定分数；相应的，

所述根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果之后，还包括：

判断所述鉴定分数是否大于或等于预设分数；

若大于或等于，则所述未知文件样本为安全文件；

否则，所述未知文件为不安全文件。

可选的，前述的未知文件样本安全性鉴定的方法，还包括：

接收客户端发送的更新数据包，并预加载所述更新数据包；

采用预加载所述更新数据包后的所述预设的鉴定策略，对已知文件样本进行鉴定，得出安全性鉴定结果；

若得到的所述安全性鉴定结果与所述已知文件样本的已知安全性结果相同，则加载所述更新数据包，以更新所述预设的鉴定策略。

本发明第二个方面提供一种未知文件样本安全性鉴定装置，该装置设置在服务器侧，其包括：

接收模块，用于接收客户端上报的携带有未知文件样本特征的上报信息，其中，所述特征为所述客户端从所述未知文件样本中提取出的；

查询模块，用于根据所述特征，查询所述未知文件样本是否在预设白名单中；

鉴定模块，用于当未知文件样本不在预设白名单中时，根据所述特征，采用预设的鉴定策略对所述未知文件样本进行安全性鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定装置，其中，所述特征包括：第一子特征和第二子特征；相应的，

所述查询模块，具体用于根据所述第一子特征，查询所述未知文件样本是否在预设白名单中；

所述鉴定模块，具体用于根据所述第二子特征，采用预设的鉴定策略对所述未知文件样本进行鉴定，得出安全性鉴定结果。

可选的，前述的未知文件样本安全性鉴定装置，其中，所述安全性鉴定结果为鉴定分数；相应的，所述未知文件样本安全性鉴定装置还包括：