[发明专利]基于模糊哈希算法的恶意代码检测系统及方法

摘要

本发明公开一种利用模糊哈希算法检测恶意代码的系统及方法。该系统由客户端软件与云端服务器组成。客户端计算要检测对象的模糊哈希值，将其发送给云端服务器。云端服务器将该模糊哈希值与已知正常文件的模糊哈希值进行比较，得到的相似度中若有一个高于白名单阈值，认为检测对象是正常文件。云端服务器将该模糊哈希值与已知恶意代码的模糊哈希值进行比较，得到的相似度中若有一个高于黑名单阈值，认为检测对象是恶意代码。对其他情况，由客户端回传整个检测对象，采用传统云查杀方法作进一步检测。在传输数据大小、网络资源消耗、恶意代码检出效果上，本发明所述方法及系统相比现有基于云的恶意代码检测技术有更好的技术效果。

主权项

一种基于模糊哈希算法的恶意代码检测系统，包括客户端和云端服务器，其特征在于，所述客户端用于计算待检测对象的模糊哈希值，并传输给云端服务器，等待云端服务器返回判定结果，认为所述待检测对象是恶意代码或者认为所述待检测对象不是恶意代码或者认为所述待检测对象需要进一步判断；如果所述判定结果是认为所述待检测对象需要进一步判断，则所述客户端将所述待检测对象上传至云端服务器，并等待云端服务器再次返回所述待检测对象是否为恶意代码的判定结果；所述云端服务器包括黑名单服务器、白名单服务器、检测服务器和深度分析服务器；所述黑名单服务器用于存储已知恶意代码的模糊哈希值；所述白名单服务器用于存储已知不是恶意代码的普通文件的模糊哈希值；所述检测服务器用于接收客户端传来的模糊哈希值，分别与所述白名单服务器和所述黑名单服务器中存储的模糊哈希值进行比较，将比较得到的模糊哈希值的相似度依照判定策略形成判定结果发送给客户端；所述深度分析服务器用于接收客户端传来的需要进一步判断的待检测对象，采用传统的云查杀技术进行检测，判断所述待检测对象是否为恶意代码，并将判定结果发给客户端。