一种对云平台中客户虚拟机进行恶意代码检测的方法技术

本申请公开了一种对云平台中客户虚拟机进行恶意代码检测的方法，包括如下步骤：步骤S1、获取内存转储文件；步骤S2、虚拟机自省提取信息；步骤S3、模型训练；步骤S4、恶意代码检测。能够避免恶意代码对客户机中的代理进行攻击，使其失效甚至绕过检测软件，提高检测效率和检测精度，并且针对不同类型的操作系统，不需要进行重新适配。进行重新适配。进行重新适配。

【技术实现步骤摘要】
一种对云平台中客户虚拟机进行恶意代码检测的方法


[0001]本申请涉及云安全领域，尤其涉及一种对云平台中客户虚拟机进行恶意代码检测的方法。

技术介绍

[0002]云计算是分布式计算的一种，指的是通过网络“云”将巨大的数据计算处理程序分解成无数个小程序，然后，通过多部服务器组成的系统进行处理和分析这些小程序得到结果并返回给用户。
[0003]近年来，随着云计算的高速发展，云安全问题也变得日益严峻。传统的云平台中的恶意代码检测，大多是通过在客户机内设置代理来获取客户机运行时的状态信息，这样无法避免恶意代码对客户机中的代理进行攻击，使其失效甚至绕过检测软件。同时传统的方法一般是通过专家分析或者基于特征的机器学习分类进行恶意代码检测的，这会耗费大量时间在分析或者数据预处理上。并且，现有的检测方法针对不同类型的操作系统，需要进行适配和更改，并且对于没有可视化界面的操作系统，无法很好的进行检测。

技术实现思路

[0004]本专利技术的主要目的是提供一种对云平台中客户虚拟机进行恶意代码检测的方法，能够避免恶意代码对客户机中的代理进行攻本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种对云平台中客户虚拟机进行恶意代码检测的方法，其特征在于，包括如下步骤：步骤S1、获取内存转储文件，在云平台中创建并启动客户虚拟机，利用虚拟化平台的内存转储功能获取客户虚拟机的内存转储文件；步骤S2、虚拟机自省提取信息，对内存转储文件进行分析，通过虚拟机自省技术获取客户虚拟机的多种运行状态特征；步骤S3、模型训练，使用BERT模型对多种运行状态特征依次进行训练，得到训练好的BERT模型和各类运行状态特征对应的模型分类精确度；步骤S4、恶意代码检测，将检测到的运行状态特征依次输入训练好的BERT模型检测，获得各类运行状态特征的检测结果，根据各类运行状态特征对应的模型分类精确度分配每个运行状态特征的检测结果的权重，将每个运行状态特征的检测结果分别乘以对应权重然后相加获得最终检测结果。2.根据权利要求1所述的对云平台中客户虚拟机进行恶意代码检测的方法，其特征在于，步骤S1包括：步骤S101、在云平台中创建并启动客户虚拟机；步骤S102、保存客户虚拟机快照作为恢复点，在客户虚拟机内运行正常软件和恶意软件，模拟用户正常使用和被恶意软件入侵的场景；S103、利用虚拟化平台的内存转储功能获取客户虚拟机的内存转储文件；S104、将客户虚拟机恢复至恢复点，运行其余的软件并重复步骤S103。3.根据权利要求1所述的对云平台中客户虚拟机进行恶意代码检测的方法，其特征在于，步骤S2包括：步骤S201、构建客户操作系统的符号表；步骤S202、对内存转储文件进行分析，获取客户虚拟机运行时的各类运行状态特征，将获取的数据按类别保存在不同的文档中。4.根据权利要求3所述的对云平台中客户虚拟机进行恶意代码检测的方法，其特征在于，所述客户虚拟机包括linux系统虚拟机和windows系统虚拟机，判断客户虚拟机类型，若客户虚拟机为windows系统虚拟机，则步骤S201中使用volatility获取符号表；若客户虚拟机为linux系统虚拟机，则步骤S201中使用dwarf2json获取符号表。5.根据权利要求4所述的对云平台中客户虚拟机进行恶意代码检测的方法，其特征在于，所述linux系统虚拟机采用ubuntu 16.04操作系统，windows系统虚拟机采用windows ...

【专利技术属性】
技术研发人员：陈博翰，丁紫薇，马桂才，杨诏钧，魏立峰，韩光，姬一文，
申请(专利权)人：麒麟软件有限公司，
类型：发明
国别省市：