[发明专利]针对未知勒索病毒的精准识别与全网联动防御方法和系统

说明书

本发明提供了一种针对未知勒索病毒的精准识别与全网联动防御方法和系统，涉及网络安全的技术领域，包括：获取每个待检测设备发送的疑似携带未知勒索病毒的待处理文件和待处理文件的特征信息；计算每个待检测设备发送的待处理文件的哈希值，得到多个哈希值；从多个待处理文件中选择哈希值相同的多个目标文件；对多个目标文件进行识别，得到识别结果，并将识别结果发送给各个待检测设备，其中，识别结果表示哈希值相同的多个目标文件是否为携带未知勒索病毒的文件，本发明缓解了现有疑似未知勒索病毒的识别方法在确定疑似未知勒索病毒是否为未知勒索病毒过程中误判率较高的技术问题。

技术领域

本发明涉及网络安全技术领域，尤其是涉及一种针对未知勒索病毒的精准识别与全网联动防御方法和系统。

背景技术

勒索病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。勒索病毒利用各种非对称加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。勒索病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。

勒索病毒文件一旦进入本地，就会自动运行，同时删除勒索软件样本，以躲避查杀和分析。接下来，勒索病毒利用本地的互联网访问权限连接至黑客的控制服务器，进而上传本机信息并下载加密公钥，利用加密公钥对文件进行加密。除了拥有解密私钥的攻击者本人，其他人是几乎不可能解密。加密完成后，通常还会指导用户去缴纳赎金。勒索病毒变种类型非常快，对常规的杀毒软件都具有免疫性，对常规依靠特征检测的安全产品是一个极大的挑战。现有的疑似未知勒索病毒的识别方法，对疑似未知勒索病毒的行为特征进行分析，来确定疑似未知勒索病毒是否为未知勒索病毒。但是该方法仅对疑似未知勒索病毒的行为特征进行了分析，缺少其他有利的分析依据，从而容易出现误判。

针对上述问题，还未提出有效的解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种针对未知勒索病毒的精准识别与全网联动防御方法和系统，缓解了现有疑似未知勒索病毒的识别方法在确定疑似未知勒索病毒是否为未知勒索病毒过程中误判率较高的技术问题。

第一方面，本发明实施例提供了一种针对未知勒索病毒的精准识别与全网联动防御方法，该方法应用于识别设备，包括：获取每个待检测设备发送的疑似携带未知勒索病毒的待处理文件和所述待处理文件的特征信息，所述特征信息包括以下至少一种：用于表征所述待处理文件是否产生过外联行为的标识信息，所述待处理文件的首次启动时刻和首次启动时长，所述待处理文件对诱饵文件执行加密操作的次数，所述待处理文件进入待检测设备的时间和方式；计算每个待检测设备发送的待处理文件的哈希值，得到多个哈希值；从多个待处理文件中选择哈希值相同的多个目标文件；对所述多个目标文件进行识别，得到识别结果，并将所述识别结果发送给各个所述待检测设备，其中，所述识别结果表示哈希值相同的多个目标文件是否为携带未知勒索病毒的文件。

进一步地，所述多个目标文件包括：第一目标文件和第二目标文件；对所述多个目标文件进行识别，得到识别结果包括：若所述第一目标文件的特征信息中包含用于表征所述第一目标文件产生过外联行为的标识信息，且所述第二目标文件的特征信息中包含用于表征所述第二目标文件产生过外联行为的标识信息，则判断所述第一目标文件的首次启动时刻与所述第二目标文件的首次启动时刻之间的时间差是否小于或等于预设时间差；若是，则判断所述第一目标文件对诱饵文件执行加密操作的次数是否大于或等于预设次数，以及判断所述第二目标文件对诱饵文件执行加密操作的次数是否大于或等于预设次数；若是，则确定所述识别结果为第一识别结果，其中，所述第一识别结果表示所述第一目标文件和所述第二目标文件为携带未知勒索病毒的文件，且所述多个目标文件中与所述第一目标文件相同的目标文件同样为携带未知勒索病毒的文件。