[发明专利]一种样本检测方法、装置、设备及计算机可读存储介质

说明书

本申请公开了一种样本检测方法、系统、设备及计算机可读存储介质，获取待检测样本；提取待检测样本的静态特征；判断待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配；若待检测样本的静态特征与恶意样本家族的静态特征相匹配，则确定待检测样本为恶意样本；其中，静态特征的特征类型包括：程序数据库文件信息和/或字符串信息和/或代码片段信息。本申请中，由于恶意样本家族的程序数据库文件信息、字符串信息及代码片段信息中存在共性，所以本申请相当于借助恶意样本家族间的共性信息来判断待检测样本是否为恶意样本，检测准确性高，还便于根据家族信息来对待检测样本进行分析等操作。

技术领域

本申请涉及网络安全技术领域，更具体地说，涉及一种样本检测方法、装置、设备及计算机可读存储介质。

背景技术

当前，用户的计算机或其他终端在运行过程中，会受到恶意软件、病毒等的恶意攻击，给用户带来网络安全困扰，为了避免用户设备被恶意攻击，需对恶意攻击行为进行识别及防护。

比如可以通过文件散列值来对携带恶意攻击的恶意样本进行识别、防护等，具体的，可以通过杀毒软件获取待检测样本的文件散列值，将待检测样本的文件散列值与病毒库中的文件散列值进行比对，若待检测样本的文件散列值已在病毒库中，则判定待检测样本为恶意样本，后续需对该待检测样本进行防护。

然而，目前的样本会因为加壳而导致程序变形，或者攻击者故意为了变形而在样本中添加一些混淆技巧，使用文件散列值来判断待检测样本是否为恶意样本的准确性较差。

综上所述，如何提高恶意样本的检测准确性是目前本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种样本检测方法，其能在一定程度上解决如何提高恶意样本的检测准确性的技术问题。本申请还提供了一种样本检测装置、设备及计算机可读存储介质。

为了实现上述目的，本申请提供如下技术方案：

一种样本检测方法，包括：

获取待检测样本；

提取所述待检测样本的静态特征，其中，所述静态特征的特征类型包括：程序数据库文件信息和/或字符串信息和/或代码片段信息；

判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配；

若所述待检测样本的静态特征与所述恶意样本家族的静态特征相匹配，则确定所述待检测样本为恶意样本。

优选的，所述确定所述待检测样本为恶意样本之后，还包括：确定所述待检测样本匹配的恶意样本家族信息。

优选的，所述判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配之前，还包括：

获取预设数量的已知恶意样本；

提取所述已知恶意样本的静态特征；

基于所述已知恶意样本的静态特征对所述已知恶意样本进行家族划分，得到所述恶意样本家族信息。

优选的，所述基于所述已知恶意样本的静态特征对所述已知恶意样本进行家族划分，得到所述恶意样本家族信息，包括：

将静态特征相似的所述已知恶意样本确定为所述恶意样本家族；

对所述恶意样本家族的静态特征进行聚类，得到所述恶意样本家族信息。

优选的，所述将静态特征相似的所述已知恶意样本确定为所述恶意样本家族，包括：

确定各已知恶意样本的程序数据库文件信息间的第一相似度值；

和/或，确定各已知恶意样本的字符串信息间的第二相似度值；