[发明专利]一种基于IRP分析的加密勒索软件实时监测系统及方法

说明书

本发明属于加密勒索软件监测技术领域，具体涉及一种基于IRP分析的加密勒索软件实时监测系统及方法，包括下列步骤：诱饵监控；部署诱饵文件，当加密勒索软件进程试图写入诱饵文件时，立即将该进程标识为恶意并终止进程；通过文件监控和进程监控协同运作，判定行为是否为恶意加密；加密函数钩子；在系统内置的加密函数处放置钩子，捕获在加密时所使用的秘钥，当恶意加密发生时，可以根据此模块内置的数据库，找到加密时所用的对称密钥，来解密已被加密的文件。本发明结合进程的IRP特征和文件监控，做到实时识别运行中的勒索软件，可以通过其行为进行快速识别，做到了更及时的监测。本发明用于加密勒索软件的实时监测。

技术领域

本发明属于加密勒索软件监测技术领域，具体涉及一种基于IRP分析的加密勒索软件实时监测系统及方法。

背景技术

网络中存在着大量的加密勒索软件，这种恶意软件可能入侵企业或个人的电脑，对电脑中重要的数据文件进行加密并勒索高昂的赎金，在没有防护软件的情况下，数据文件一旦被加密将无法被还原，受到此攻击的个人或企业都将面临严重的经济或数据损失。

现有技术存在的问题或缺陷：现有勒索软件监测机制提供实时预警效果有限，可能会导致大量文件的不可逆加密，且当用户主动对文件进行加密时，监测系统难以区分良性加密和恶意的加密，存在一定的误报问题。

发明内容

针对上述现有的监测系统难以区分良性加密和恶意的加密，存在一定的误报问题的技术问题，本发明提供了一种识别速度快、准确率高、误报率低的基于IRP分析的加密勒索软件实时监测系统及方法。

为了解决上述技术问题，本发明采用的技术方案为：

一种基于IRP分析的加密勒索软件实时监测方法，包括下列步骤：

S1、诱饵监控；部署诱饵文件，当加密勒索软件进程试图写入诱饵文件时，立即将该进程标识为恶意并终止进程；

S2、通过文件监控和进程监控协同运作，判定行为是否为恶意加密；

S3、加密函数钩子；在系统内置的加密函数处放置钩子，捕获在加密时所使用的秘钥，当恶意加密发生时，可以根据此模块内置的数据库，找到加密时所用的对称密钥，来解密已被加密的文件。

所述S1中的诱饵监控自动在磁盘各个位置部署诱饵文件，当有IRP请求对应的是对诱饵文件进行的修改，诱饵监控可以立即判定该IRP请求的进程是恶意加密软件，并对该请求进行拦截和终止。

所述S2中文件监控和进程监控协同运作的方法为：

所述文件监控为：文件更改监控在文件发生修改时，通过文件修改前后的相似性度量和熵度量之间的差别，判断文件是否被加密；文件分类监控通过学习并分析用户文件行为，对数据文件进行分类，标记出有较高可能性被用户主动加密的文件；

所述进程监控为：根据进程的IRP请求特征，使用机器学习分类器对进程进行分类，并识别恶意加密进程。

所述S2中当IRP请求没有操作诱饵文件时所述文件监控和所述进程监控将协同运作，所述文件监控判断此IRP请求是否是对文件进行加密修改并对用户文件进行分类，所述进程监控根据IRP特征对进程进行分类，当文件监控判定此次IRP操作是一次加密操作，且进程监控根据IRP特征判定进程为恶意时，可以充分认定该行为为恶意加密。

所述S3中的加密函数钩子当加密行为发生时调用系统内置加密函数，并记录此次加密使用密钥，根据密钥对被恶意加密文件还原。

一种基于IRP分析的加密勒索软件实时监测系统，包括诱饵监控模块、文件监控模块、进程监控模块、加密函数钩子模块，所述诱饵监控模块通过并列关系连接有文件监控模块、进程监控模块，所述诱饵监控模块、文件监控模块、进程监控模块均通过通信连接有加密函数钩子模块。