基于自适应分类器的云查杀方法及系统技术方案

本发明专利技术提供一种基于自适应分类器的云查杀方法及系统，其中的方法包括：客户端基于汉明距离分类器对文件进行分类检测；当文件的特征与轻量级黑白名单特征库中的特征匹配不成功时，客户端将文件发送给云端；云端基于至少两级汉明距离的hash值分类器对文件进行分类检测；当文件的特征与云端的黑白名单特征库中的特征匹配成功时，云端根据所统计的文件的特征的命中率，将预定时间间隔内的命中率排名在预定范围的文件发送给客户端进行轻量级黑白名单特征库的更新，同时汉明距离分类器完成自适应更新。通过本发明专利技术能够提高文件特征的过滤效率和命中几率，减少客户端送往云端的数据，同时缩短文件的特征在云端的查询距离，提高搜索特征的效率。

【技术实现步骤摘要】

本专利技术涉及云安全
，更为具体地，涉及一种基于自适应分类器的云查杀方法及系统。
技术介绍
云安全是网络时代信息安全的最新体现，而云安全技术则是P2P技术、网络技术以及云计算技术等分布式计算技术混合发展、自然演化的结果。由于云端存储的特征库可以比原有硬件设备大很多，因此利用云安全技术将特征库转移到云端能够降低设备内存的开销，同时利用云端高性能的处理能力，将安全扫描也转移到云端能够降低安全扫描对硬件设备性能的影响。正是由于云安全技术具有以上优势，因此其已经成为越来越多安全厂家的选择，然而这也给云安全带来了新的问题。从安全性角度考虑，无论国际上各大信息安全厂商还是国内主要信息安全厂商，其云安全产品都已经呈现出越来越明显的集中化，这是由以下两方面所造成的：其一，终端不再保存数据，攻击终端的效果越来越不明显；其二，终端的轻量级化与多样化等原因导致攻击终端的难度逐渐增加。基于上述两方面的原因，现如今恶意攻击者更多地将攻击的矛头指向了服务器端，即云端。近两年所出现的APT(Advanced Persistent Threat，高级持续性威胁)就可以运用多种渗透手段对云端平台进行恶意攻击。针对上述情况，如果尽量减少客户端发往云端的数据量，则可以在一定程度上减小这种云端攻击的概率。从性能角度考虑，随着云计算时代安全集中化趋势的来临，对云安全的高性能要求也达到了前所未有的高度。云安全面对层出不穷的网络攻击，其如何降低客户端对云端的依赖性，如何提高响应速度已经成为提高其自身安全性的关键途径。当今许多主流厂商(例如Palo Alto、Checkpoint、Fortinet、360、趋势科技等)大多采用黑白名单的方式来尽量减少特征库的匹配过程，以便提高整个云查杀的性能并同时降低相应的损耗，但其黑白名单技术仍然存在如下问题：1、数量级为几千万的黑白名单在查找过程中仍然会占用很大的资源并带来一定的性能损耗；2、黑白名单中很多使用频率低的样本占用了相当高比例的查询时间。针对上述问题，很多厂商都采用基于硬件的二级黑白名单机制，即将数量级较大的黑白名单部署在处理能力较强的云端，将轻量级的黑白名单部署在本地客户端以起到一个预过滤的作用。但采用基于硬件的二级黑白名单机制同样存在如下问题：1、黑白名单都设置在硬件上，不利于黑白名单的调节，随着时间的推移，送往云端检验的数据量会越来越多，最终导致云端资源的占用及性能的损耗；2、客户端的过滤效率及特征库的匹配命中率低。
技术实现思路
鉴于上述问题，本专利技术的目的是提供一种基于自适应分类器的云查杀方法及系统，以解决现有的基于硬件的二级黑白名单机制在云端的资源占用量和损耗大，以及在客户端的过滤效率和特征库的匹配命中率低的问题。根据本专利技术的一个方面，提供一种基于自适应分类器的云查杀方法，包括：客户端基于汉明距离分类器对文件进行分类检测；其中，当文件的特征与客户端的轻量级黑白名单特征库中的特征匹配不成功时，客户端将文件发送给云端；云端基于至少两级汉明距离的hash值分类器对文件进行分类检测；其中，当文件的特征与云端的黑白名单特征库中的特征匹配成功时，统计文件的特征命中云端的黑白名单特征库中的特征的概率；根据所统计的概率，云端将预定时间间隔内的概率排名在预定范围的文件发送给客户端；客户端根据云端所发送的文件进行客户端的轻量级黑白名单特征库的更新；其中，客户端在更新轻量级黑白名单特征库的同时，汉明距离分类器完成自适应更新。其中，根据预定的时间间隔，云端将客户端的文件的特征命中云端的黑白名单特征库中的特征的概率排名在预定范围内的文件反馈给客户端作为客户端的轻量级黑白名单特征库。其中，当文件的特征与云端的黑白名单特征库中的特征匹配成功时，统计云端的黑白名单特征库中的特征所在的级数被命中的概率，根据级数被命中的概率自适应调节汉明距离的hash值分类器在云端的排列顺序。另一方面，本专利技术提供一种基于自适应分类器的云查杀系统，包括：第一分类检测单元，用于基于汉明距离分类器对客户端的文件进行分类检测；文件发送单元，用于当第一分类检测单元检测出文件的特征与客户端的轻量级黑白名单特征库中的特征匹配不成功时，将客户端的文件发送给云端；第二分类检测单元，用于基于至少两级汉明距离的hash值分类器对文件发送单元所发送的文件进行分类检测；第一概率统计单元，用于当第二分类检测单元检测出文件发送单元所发送的文件的特征与云端的黑白名单特征库中的特征匹配成功时，统计文件发送单元所发送的文件的特征命中云端的黑白名单特征库中的特征的概率；更新单元，用于更新客户端的轻量级黑白名单特征库；其中，该更新是云端根据第一概率统计单元所统计出的概率，将在预定时间间隔内的概率排名在预定范围的文件发送给客户端而实现的；其中，在更新客户端的轻量级黑白名单特征库的同时，汉明距离分类器完成自适应更新。利用上述根据本专利技术的基于自适应分类器的云查杀方法及系统，通过基于自适应分类器对文件进行分类检测，一方面，能够提高客户端轻量级黑白名单特征库中的特征的过滤效率和命中几率，减少送往云端的数据量；另一方面能够缩短云端黑白名单特征库中的特征的查询距离，提高搜索特征的效率。为了实现上述以及相关目的，本专利技术的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本专利技术的原理的各种方式中的一些方式。此外，本专利技术旨在包括所有这些方面以及它们的等同物。附图说明通过参考以下结合附图的说明及权利要求书的内容，并且随着对本专利技术的更全面理解，本专利技术的其它目的及结果将更加明白及易于理解。在附图中：图1为根据本专利技术实施例的基于自适应分类器的云查杀的第一流程示意图；图2为根据本专利技术实施例的基于自适应分类器的云查杀的第二流程示意图；图3为根据本专利技术实施例的基于自适应分类器的云查杀系统的逻辑结构框图。在所有附图中相同的标号指示相似或相应的特征或功能。具体实施方式以下将结合附图对本专利技术的具体实施例进行详细描述。针对前述现有的基于硬件的二级黑白名单机制对黑白名单的调节不灵活，过滤效率及特征库的匹配命中率低的问题。本专利技术基于自适应分类器对文件进行分类检测。其中，在客户端，本专利技术基于自适应的汉明距离分类器对送去本文档来自技高网...

【技术保护点】
一种基于自适应分类器的云查杀方法，包括：客户端基于汉明距离分类器对文件进行分类检测；其中，当所述文件的特征与客户端的轻量级黑白名单特征库中的特征匹配不成功时，所述客户端将所述文件发送给云端；所述云端基于至少两级汉明距离的hash值分类器对所述文件进行分类检测；其中，当所述文件的特征与云端的黑白名单特征库中的特征匹配成功时，统计所述文件的特征命中所述云端的黑白名单特征库中的特征的概率；根据所统计的概率，所述云端将预定时间间隔内的概率排名在预定范围的文件发送给所述客户端；所述客户端根据云端所发送的文件进行所述客户端的轻量级黑白名单特征库的更新；其中，所述客户端在更新所述轻量级黑白名单特征库的同时，所述汉明距离分类器完成自适应更新。

【技术特征摘要】
1.一种基于自适应分类器的云查杀方法，包括：
客户端基于汉明距离分类器对文件进行分类检测；其中，当所述文件的
特征与客户端的轻量级黑白名单特征库中的特征匹配不成功时，
所述客户端将所述文件发送给云端；
所述云端基于至少两级汉明距离的hash值分类器对所述文件进行分类检
测；其中，当所述文件的特征与云端的黑白名单特征库中的特征匹配成功时，
统计所述文件的特征命中所述云端的黑白名单特征库中的特征的概率；
根据所统计的概率，所述云端将预定时间间隔内的概率排名在预定范围
的文件发送给所述客户端；
所述客户端根据云端所发送的文件进行所述客户端的轻量级黑白名单特
征库的更新；其中，所述客户端在更新所述轻量级黑白名单特征库的同时，
所述汉明距离分类器完成自适应更新。
2.如权利要求1所述的基于自适应分类器的云查杀方法，其中，当所述
文件的特征与所述云端的黑白名单特征库中的特征匹配不成功时，利用多引
擎对所述文件进行查杀。
3.如权利要求1所述的基于自适应分类器的云查杀方法，还包括：根据
预定的时间间隔，云端将所述客户端的文件的特征命中所述云端的黑白名单
特征库中的特征的概率排名在预定范围内的文件反馈给所述客户端，作为所
述客户端的轻量级黑白名单特征库。
4.如权利要求1所述的基于自适应分类器的云查杀方法，其中，所述汉
明距离分类器和所述汉明距离的hash值分类器基于文件的MD5值或SHA1
值对所述文件进行分类检测。
5.如权利要求1所述的基于自适应分类器的云查杀方法，其中，当所述
文件的特征与云端的黑白名单特征库中的特征匹配成功时，统计所述云端的

\t黑白名单特征库中的特征所在的级数被命中的概率，根据所述级数被命中的
概率自适应调节所述汉明距离的hash值分类器在所述云端的排列顺序。
6.一种基于自适应分类器的云查杀系统，包括：
第一分类检测单元，用于基于汉明距离分类器对客户端的文件进行分类
检测；
文件发送单元，用于当所述第一分类检测单元检测出所述文件的特征与
客户端的轻量级...

【专利技术属性】
技术研发人员：吴子章，刘申，赵志宏，柴丽颖，
申请(专利权)人：东软集团股份有限公司，
类型：发明
国别省市：辽宁;21