[发明专利]一种文件信誉鉴定方法、装置及系统

说明书

本申请实施例提供一种文件信誉鉴定方法、装置及系统，涉及网络安全技术领域。该方法包括接收安全检测设备发送的至少一个无法确定是否为恶意文件的样本文件HASH值的鉴定请求；对所述鉴定请求进行处理，以获得鉴定结果，并将所述鉴定结果发送至所述安全检测设备；接收所述安全检测设备返回的所述鉴定结果中的待详细鉴定样本并生成样本鉴定任务和对应的鉴定任务序号；发送所述鉴定任务序号至所述安全检测设备，以使所述安全检测设备根据所述鉴定任务序号查询鉴定结果和鉴定详情信息，利用云端样本鉴定服务器实现云地联动，达到查漏补缺的全面且快速鉴定的目的，解决了现有方法存在样本鉴定能力不足且鉴定效率低的问题。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种文件信誉鉴定方法、装置及系统。

背景技术

安全检测设备旁路部署于用户网络处，通过监听网络报文数据，发现安全事件并及时报警。但是由于鉴定样本文件的过程中需要消耗大量处理器资源，且耗时较长，此外，受限于设备本身处理资源的限制，不可能采用较复杂技术，因此，存在样本鉴定能力不足且鉴定效率低的问题。

发明内容

本申请实施例的目的在于提供一种文件信誉鉴定方法、装置及系统，利用云端样本鉴定服务器实现云地联动，达到查漏补缺的全面且快速鉴定的目的，解决了现有方法存在样本鉴定能力不足且鉴定效率低的问题。

本申请实施例提供了一种文件信誉鉴定方法，应用于样本鉴定服务器，所述方法包括：

接收安全检测设备发送的至少一个无法确定是否为恶意文件的样本文件HASH值的鉴定请求；

对所述鉴定请求进行处理，以获得鉴定结果，并将所述鉴定结果发送至所述安全检测设备；

接收所述安全检测设备返回的所述鉴定结果中的待详细鉴定样本并生成样本鉴定任务和对应的鉴定任务序号；

发送所述鉴定任务序号至所述安全检测设备，以使所述安全检测设备根据所述鉴定任务序号查询鉴定结果和鉴定详情信息。

在上述实现过程中，通过样本鉴定服务器与安全检测设备通信连接，实现云地联动，样本鉴定服务器提供快速鉴定和异步查询鉴定结果服务，既弥补了安全检测设备样本鉴定能力不足的问题，又达到了查漏补缺、全面检测的目的，解决了现有方法存在样本鉴定能力不足且鉴定效率低的问题。

进一步地，在所述接收安全检测设备发送的鉴定请求的步骤之前，所述方法还包括：

接收安全检测设备发送的认证请求，以对所述安全检测设备进行认证；

根据存储的认证数据对所述安全检测设备进行认证；

发送认证成功标识、认证凭证、文件信誉列表和采样配置文件至所述安全检测设备，以使所述安全检测设备根据文件信誉列表HASH值和还原文件HASH值确定是否为恶意文件。

在上述实现过程中，在认证成功后，安全检测设备接收并加载文件信誉列表和采样配置文件，通过采样配置文件中的采样比例对文件进行还原，并计算还原文件HASH值，以通过文件信誉列表HASH值和还原文件HASH值的比对进行恶意文件的初步判定。

进一步地，所述对所述鉴定请求进行处理，以获得鉴定结果，包括：

根据所述样本文件HASH值进行静态检索，并以黑、白、灰进行标记。

在上述实现过程中，样本鉴定服务器通过静态检索，确定样本文件HASH值的鉴定结果，并以黑、白、灰进行标记，其中，黑色表示恶意样本，白色表示正常样本，灰色为不确定样本。

进一步地，所述发送所述鉴定任务序号至所述安全检测设备，以使所述安全检测设备根据所述鉴定任务序号查询鉴定结果和鉴定详情信息，包括：

接收所述安全检测设备发送的查询鉴定结果请求，所述查询鉴定结果请求包括所述鉴定任务序号；