一种可疑样本分析处理方法及系统技术方案

本发明专利技术公开了一种可疑样本分析处理方法及系统，涉及样本分析技术领域，包括获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本

【技术实现步骤摘要】
一种可疑样本分析处理方法及系统


[0001]本申请涉及样本分析
，更具体地，涉及一种可疑样本分析处理方法及系统
。

技术介绍

[0002]沙箱技术作为一种较为安全的动态分析环境，可以自动化的分析未知的样本，记录样本在沙箱环境内的各种行为，从而对样本的真实意图进行判定，同时恶意样本在沙箱内的运行不会对真实环境产生任何修改，是较为理想的分析环境
。
[0003]现有技术中，一般通过分析样本在沙箱内的行为特征来判断是否为可疑样本，但是，用于检验的行为特征往往比较固定，不能满足样本分析的复杂要求，且较多的行为特征存在冗余，导致检测精度低
、
效果差
。
[0004]因此，如何提高特征选择的准确性和检测精度，是目前有待解决的技术问题
。

技术实现思路

[0005]本专利技术提供一种可疑样本分析处理方法，用以解决现有技术中行为特征不准确
、
检测精度低的技术问题
。
该方法应用于沙箱中，所述方法包括：获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本
。
[0006]本申请一些实施例中，基于初始特征集确定搜索起点和搜索策略，包括：根据初始特征集内特征数量确定特征维度，基于特征维度确定特征子集数量，基于特征子集数量确定搜索起点和搜索策略
。
[0007]本申请一些实施例中，基于特征子集数量确定搜索起点和搜索策略，包括：若特征子集数量不超过第一阈值，则搜索起点为全集或空集，在搜索起点基础上通过第一搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第一阈值且不超过第二阈值，则根据第一特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第二搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第二阈值，则根据第二特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第三搜索策略进行特征选择，以得到有效特征子集；其中，第一阈值小于第二阈值，第一特征子集超出量为特征子集数量与第一阈值
之差，第二特征子集超出量为特征子集数量与第二阈值之差，全集为所有行为特征，空集为无行为特征
。
[0008]本申请一些实施例中，第一搜索策略包括：以空集或全集为搜索起点，根据第一评判规则进行特征的添加或减少；当满足第一停止条件时，停止搜索，得到有效特征子集；其中，第一停止条件为特征子集全部搜索完成
。
[0009]本申请一些实施例中，第二搜索策略包括：进行第一种搜索，包括：根据特征子集得到特征的属性，基于特征的属性确定特征的性能量，基于特征的性能量确定第一搜索次数，并将第一搜索次数作为第二停止条件；根据第一搜索次数和特征子集确定每次搜索添加的特征数量，并依次进行搜索；每次搜索根据第二评判规则添加对应数量的特征，基于特征维度和添加的特征数量确定筛选率，基于筛选率将添加的特征进行筛选，筛选后添加到部分集中；当满足第二停止条件时，搜索停止，得到第一有效特征子集并将其作为有效特征子集
。
[0010]本申请一些实施例中，第三搜索策略包括：分别进行第一种搜索和第二种搜索；第二种搜索包括：获取特征的信息熵和特征属性，从特征属性中筛选出与信息熵相关联的属性，并得到校对量，基于校对量实时更新信息熵，根据特征的信息熵设置第二搜索次数，并将第二搜索次数作为第三终止条件；基于特征维度确定随机份数，在部分集中随机选择一个随机份数作为搜索起点，通过第三评判规则以随机份数为单位随机增加特征；当满足第三停止条件时，搜索停止，得到第二有效特征子集；对比第一有效特征子集和第二有效特征子集得到特征差集，将特征差集添加到第一有效特征子集中，并将其作为有效特征子集
。
[0011]本申请一些实施例中，获取沙箱关键行为，对沙箱关键行为进行评分得到沙箱评分，根据沙箱评分动态更新第一阈值和第二阈值
。
[0012]对应的，本申请还提供了一种可疑样本分析处理系统，应用于沙箱中，该系统包括：测试模块，用于获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取模块，用于获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；选择模块，用于基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；检测模块，用于根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本
。
[0013]通过应用以上技术方案，获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起
点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本
。
本申请通过合理选择恶意样本的行为特征，建立对应的特征检验规则，提高了样本检测的准确性
。
根据行为特征的维度适应性选择不同的搜索起点和策略，得到准确的特征标识，用于检测未知样本，特征准确性得到提升
。
附图说明
[0014]为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图
。
[0015]图1示出了本专利技术实施例提出的一种可疑样本分析处理方法的流程示意图；图2示出了本专利技术实施例提出的一种可疑样本分析处理系统的结构示意图
。
具体实施方式
[0016]下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚
、
完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例
。
基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围
。
[0017]本申请实施例提供一种可疑样本分析处理方法，应用于沙箱中，如图1所示，该方法包括以下步骤：步骤
S101
，获取多种恶意样本，将恶意样本分别放入沙箱中运行
.
本实施例中，将多种恶意样本放入沙箱中运行，得到对应的动作运行日志，从而进行特征的选择
。
[0018]步骤
S102
，获取本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种可疑样本分析处理方法，应用于沙箱中，其特征在于，所述方法包括：获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本
。2.
如权利要求1所述的方法，其特征在于，基于初始特征集确定搜索起点和搜索策略，包括：根据初始特征集内特征数量确定特征维度，基于特征维度确定特征子集数量，基于特征子集数量确定搜索起点和搜索策略
。3.
如权利要求2所述的方法，其特征在于，基于特征子集数量确定搜索起点和搜索策略，包括：若特征子集数量不超过第一阈值，则搜索起点为全集或空集，在搜索起点基础上通过第一搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第一阈值且不超过第二阈值，则根据第一特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第二搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第二阈值，则根据第二特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第三搜索策略进行特征选择，以得到有效特征子集；其中，第一阈值小于第二阈值，第一特征子集超出量为特征子集数量与第一阈值之差，第二特征子集超出量为特征子集数量与第二阈值之差，全集为所有行为特征，空集为无行为特征
。4.
如权利要求3所述的方法，其特征在于，第一搜索策略包括：以空集或全集为搜索起点，根据第一评判规则进行特征的添加或减少；当满足第一停止条件时，停止搜索，得到有效特征子集；其中，第一停止条件为特征子集全部搜索完成
。5.
如权利要求3所述的方法，其特征在于，第二搜索策略包括：进行第一种搜索，包...

【专利技术属性】
技术研发人员：潘中英，戚红建，韩硕，王宇飞，张洪卫，袁阳，张强，宋成风，闫文琴，李云鹏，
申请(专利权)人：中国华能集团有限公司北京招标分公司，
类型：发明
国别省市：