[发明专利]一种云平台恶意行为检测系统及其方法

权利要求书

1.一种云平台恶意行为检测系统，其特征在于：

包括云端（10）和目标客户端（20）；其中云端（10）包括第1行为检测器（11）、第1网络检测器（12）、扫描器（13）、模式筛选器（14）、第1恶意程序库（15）、第1可信程序库（16）和第1网络攻击模式库（17）；其中目标客户端（20）包括第2行为检测器（21）、第2网络检测器（22）、行为探针（23）、网络探针（24）、第2恶意程序库（25）、第2可信程序库（26）和第2网络攻击模式库（27）；

其交互关系是：

第2行为检测器（21）分别与行为探针（23）、第2恶意程序库（25）、第2可信程序库（26）和第1行为检测器（11）进行交互，实现在目标客户端（20）上对程序恶意行为的提取、识别和响应；

第2网络检测器（22）分别与网络探针（24）、第2网络攻击模式库（27）和第1网络检测器（12）进行交互，实现在目标客户端（20）上对网络恶意行为的提取、识别和响应；

第1行为检测器（11）分别与第1恶意程序库（15）、第1可信程序库（16）、扫描器（13）和第2行为检测器（21）进行交互，实现在云端（10）对恶意程序行为的提取、识别和响应；

第1网络检测器（12）分别与第1网络攻击模式库（17）和第2网络检测器（22）进行交互，实现在云端（10）上对恶意网络攻击行为的提取、识别和响应；

模式筛选器（14）分别与第1恶意程序库（15）、第1可信程序库（16）、第1网络攻击模式库（17）、第2恶意程序库（25）、第2可信程序库（26）和第2网络攻击模式库（27）进行交互，实现对目标客户端（20）的信息收集和对检测规则的下发。

2.基于权利要求1所述系统的一种云平台恶意行为检测方法，其特征在于：

①行为探针（23）针对程序恶意行为，提取目标客户端（20）上的程序信息摘要，发送给第2行为检测器（21），进行恶意行为检测；

②第2行为检测器（21）通过行为探针（23）提交的程序信息摘要，结合第2恶意程序库（25）、第2可信程序库（26）识别程序恶意行为；对于无法识别的可疑程序，则提交给云端（10）的第1行为检测器（11）进行检测；

③第2网络检测器（22）通过网络探针（24）提交的网络流量摘要，结合第2网络攻击模式库（27）识别网络恶意行为；对于无法识别的可疑流量，则提交给云端（10）的第1网络检测器（12）进行检测；在云端（10）的第1网络检测器（12）通过第2网络检测器（22）提交的网络流量摘要，结合第1网络攻击模式库（17）识别网络恶意行为；

④第1行为检测器（11）通过第2行为检测器（21）提交的程序信息摘要，结合第1恶意程序库（15）、第1可信程序库（16）识别程序恶意行为；对于无法识别的可疑程序，则提交扫描器（13）进行检测；对于识别的可疑程序和正常程序，则分别更新第1恶意程序库（15）和第1可信程序库（16）；

⑤扫描器（13）接收第1行为检测器（11）提交的程序信息摘要，通过第1、2……N扫描引擎（131、132……13N）对可疑程序进行扫描，识别程序恶意行为；

⑥模式筛选器（14）结合客户端的环境信息，对第1恶意程序库（15）、可第1信程序库（16）、第1网络攻击模式库（17）的更新部分进行筛选，实时下发给目标客户端（20），以更新目标客户端（20）的第1恶意程序库（15）、第1可信程序库（16）和第1网络攻击模式库（17）。