CN119442239A 一种恶意软件取证系统、方法及电子设备 （北京时代新威信息技术有限公司）

到静态评分结果、动态评分结果和模型评分结2所述数据处理模块，用于基于所述软件样本、所述流量数据和所述日所述自动响应模块，用于根据所述特征分析结果和所述软件综合评分触所述静态分析单元，用于对所述软件样本进行解析得到静态特征所述动态分析单元，用于获取所述软件样本的动态行为日志，并基于志数据输入预设检测模型，得到所述预设检测模型输出的对所述软件样本的模型判定结所述静态分析单元，用于将所述语义特征和所述恶意内容特征与预分析子单元和行为分析子单元；所述动态行为日志包括运行行为日志和恶意行为比对结所述行为分析子单元，用于对所述运行行为日志进行行为聚类分析得到行为聚类结所述安全响应单元，用于根据所述模型判定结果和所述软件综合评分触3所述修复单元，用于根据所述特征分析结果确定恶意软件类型，并基所述响应触发器，用于根据所述软件综合评分确定软件威胁等级，并基于所述软件样本、所述流量数据和所述日志数据进行分析得到特基于所述静态评分结果、所述动态评分结果、所述模型评分结果根据所述特征分析结果和所述软件综合评分触发至少一个应用程序，其中至少一个应用程序被存储在存储45[0008]本申请在一较佳示例中可以进一步配置为：所述数据处理模块包括静态分析单所述动态分析子单元，用于运行所述软件样本得到所述软件样本的运行行为日6[0015]通过采用上述技术方案，自动响应模块通过安全响应单元和修复单元的协同工[0017]通过采用上述技术方案，安全响应单元通过响应触发器[0021]通过采用上述技术方案，数据获取模块通过运行软件样7基于所述软件样本、所述流量数据和所述日志数据进行分析得到特征分析结果，根据所述特征分析结果和所述软件综合评分触发89效防止恶意软件的扩散和损害，自动响应措施根据威胁的严重程度和类型进行动态调整，流量数据中任一项不符合预设过滤规则库中的要求的数据判定为异常流量数据。示例性规则库和语义特征的第一匹配结果包括语义特征中每一特征是否能在预设恶意规则库中于第二匹配结果能够确定恶意内容特征中与预设恶意规则库匹配成功的特征数量占恶意动态评分结果分值范围最大值的乘积作为聚类和系统调用序列，将得到的行为树和预设恶意行为链进行比对得到恶意行为比对结果，恶意行为比对结果包括行为树和预设恶意行为链的匹配度，若匹配度超出预设匹配度阈值，度和动态恶意判定结果。[0059]将行为树和预设恶意行为链的匹配度和动态评分结果分值范围最大值的乘积作[0060]对聚类结果评分、多线程行为评分和行为树评分进行加权求和得到动态评分结数和初始匹配度的乘积作为行为树和预设恶意行为链的[0065]可视化单元用于对取证数据包中包含的内子单元构建行为树与预设恶意行为链进行比对，并分析行为聚类结果和多线程行为评分，[0069]修复单元用于将特征分析结果包含的特征和预设的恶意软件类型对应的预设特设的恶意软件类型和修复建议之间的对应关系确定针对本次软件样本应该执行的修复建[0077]本申请实施例的一种可能的实现方式，响应触发器用于[0079]参见图2，其示出了本申请另一实施例提供的一种恶意软件取证系统的结构示意提供端到端的自动化恶意软件分析流程，从数据输入到威胁检测再到取证报告和响应管电子设备400的结构并不构成对本申请实施（DigitalSignalProcessor，数据信号处理器ASIC（ApplicationSpecific等。（PeripheralComponentInterconnect，外设部件互连标准）总线或EISA（Extended线或一型的总线。息和指令的其他类型的动态存储设备，也可以是EEPROM（ElectricallyErasableProgrammableReadOnlyMemory，电可擦可编程只读存储器）、CD_ROM（CompactDisc[0085]存储器403用于存储执行本申请方案的应用程序代码，并由处理器401来控制执[0086]图4示出的电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带步骤