内核级勒索软件检测器

仅加密1个文件即拦截

通过监控内核级行为特征，在勒索软件攻击早期阶段即进行检测，显著减少文件损失。

Huan, Zhang · 赵立新 · 余爱民 · Cai, Lijun · 孟丹

IEEE Transactions on Information Forensics and Security 2024

参数信息

F1 分数

99.43 %

误报率

0.11 %

攻击检测率

95 %

未见家族检测准确率

97.16 %

技术优势

加密前拦截

监控攻击前阶段的内核行为，在文件被加密前告警，避免损失扩大。

误报率极低

误报率仅 0.11%，安全运维人员几乎无需处理假警报。

未见家族也能识别

对 22 个从未见过的勒索软件家族取得 97.16% 准确率，具备泛化能力。

应用场景

• 端点安全：部署在终端上，实时阻断加密行为。
• 恶意软件检测：识别未知勒索变种，补充签名库盲区。
• 云安全：保护云主机数据，防止勒索扩散。
• 安全运维：低误报减少告警疲劳，提升响应效率。