[发明专利]基于模式匹配对应关系的文件检测方法、系统及存储介质

说明书

本发明提出一种基于模式匹配对应关系的文件检测方法、系统及存储介质，本发明通过收集常用软件的文件属性与数字签名，及文件属性与网络链接所在网站数字证书间的对应关系，生成模式匹配库；判断待检测对象是否为文件或网络链接，如果是，则将所述待检测对象与模式匹配库匹配，否则跳过；若所述待检测对象与模式匹配库匹配成功，则所述待检测对象可信，否则所述待检测对象为恶意。本发明还给出相应系统及存储介质的技术方案。通过本发明方法，能够快速准确识别具有伪装及欺骗行为的文件及连接，节省了人工提取所付出的劳动力，并且快速响应。

技术领域

本发明涉及信息安全技术领域，特别涉及一种基于模式匹配对应关系的文件检测方法、系统及存储介质。

背景技术

如今网络上存在大量恶意软件，通过伪装成常用软件的方式，如伪装图标、伪装文件名等，达到诱使用户运行的目的。对于这类软件，目前的检测手段比较有限，多为人工提取特征等方式，虽然人工提取准确率高，但效率较低，不能实现快速响应。对于最新的启发式检测，该检测方式虽然效率高且自动化，但是准确率不够。同时无法对层出不穷的具有伪装行为的软件做到快速响应。

发明内容

基于上述问题，本发明提出一种基于模式匹配对应关系的文件检测方法、系统及存储介质，通过本发明方法，解决了传统方法中效率低，响应速度慢的问题。

本发明通过以下方法实现：

一种基于模式匹配对应关系的文件检测方法，包括：

收集常用软件的文件属性与数字签名，及文件属性与网络链接所在网站数字证书间的对应关系，生成模式匹配库；

判断待检测对象是否为文件或网络链接，如果是，则将所述待检测对象与模式匹配库匹配，否则跳过；

若所述待检测对象与模式匹配库匹配成功，则所述待检测对象可信，否则所述待检测对象为恶意；

所述的判断待检测对象是否为文件或网络链接，如果是，则将所述待检测对象与模式匹配库匹配，具体为：

判断待检测对象是文件或网络链接；

如果待检测对象为文件，则提取待检测对象的文件属性及数字签名，并将其与模式匹配库匹配，若模式匹配库中存在待检测对象文件属性，且数字签名与模式匹配库中对应的数字签名相同，则判定该文件正常；若模式匹配库中存在待检测对象文件属性，且数字签名与模式匹配库中对应的数字签名不同，则判定该文件为恶意；

如果待检测对象为网络链接，则提取待检测对象的文件属性及网络链接所在网站数字证书，并将其与模式匹配库匹配，若模式匹配库中存在待检测对象文件属性，且数字证书与模式匹配库中对应的数字证书相同，则判定该网络链接正常；若模式匹配库中存在待检测对象文件属性，且数字证书与模式匹配库中对应的数字证书不同，则判定该网络链接为可疑链接。

本发明还提出一种基于模式匹配对应关系的文件检测系统，包括：

模式匹配库模块，收集常用软件的文件属性与数字签名，及文件属性与网络链接所在网站数字证书间的对应关系，生成模式匹配库；

判断模块：判断待检测对象是否为文件或网络链接，如果是，则将所述待检测对象与模式匹配库匹配，否则跳过；

匹配模块，若所述待检测对象与模式匹配库匹配成功，则所述待检测对象可信，否则所述待检测对象为恶意；

所述的判断待检测对象是否为文件或网络链接，如果是，则将所述待检测对象与模式匹配库匹配，具体为：

判断待检测对象是文件或网络链接；