[發明專利]確定計算機惡意程序樣本家族數的系統和方法

有效

• 申請號: 200910040998.7
• 申請日: 2009-07-10
• 公開（公告）號: CN101604365A
• 公開（公告）日: 2009-12-16
• 發明（設計）人: 葉艷芳;陳勇;王幼玉;萬里
• 申請（專利權）人: 珠海金山軟件股份有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F17/30
• 代理公司: 廣州新諾專利商標事務所有限公司
• 代理人: 楊煥軍

1.確定計算機惡意程序樣本家族數的系統，

其特征在于，包括：

惡意程序樣本特征提取模塊，其提取惡意程序樣本的特征并通過下述惡意程序樣本距離計算模塊計算每兩個惡意程序樣本間的距離，得到距離矩陣D；

惡意程序樣本距離計算模塊，其對不同的惡意程序樣本特征采用不同的計算公式，計算惡意程序樣本間的距離；

家族間距離計算模塊，其計算兩個家族之間的距離，計算公式為：

DKL=1NKNLΣi∈CKΣj∈CLd(Xi,Yj)]]>公式(3)；

在公式(3)中，D_KL表示家族K與家族L間的距離，d(X_i，Y_j)表示分別位于家族K與家族L的兩個惡意程序X_i和Y_j特征之間的距離，X_i和Y_j分別表示第L族中的第i個樣本和第K族中的第j個樣本，C_K表示家族K，N_K表示家族K中惡意程序樣本的個數，C_L表示家族L，N_L表示家族L中惡意程序樣本的個數；

惡意程序樣本聚類模塊，逐層對惡意程序樣本進行聚類，并根據下述V_NFS計算模塊計算每層聚類結果的聚類有效性指標V_NFS；

V_NFS計算模塊，其計算每層分家族結果的V_NFS，計算公式為：

VNFS=scat(c)-sep(c)=Σi=1cΣk=1ni||xik-vi||2-Σi=1c||vi-v‾||2*(ni-1)]]>公式(4)；

在公式(4)中，c代表家族數，n_i是家族i包含的樣本數，x_ik是家族i的第k個樣本，是家族i的中心點，v_i表示與該家族中所有樣本點距離和最小的樣本點，v_i的計算公式為：

公式(5)；

在公式(5)中，x_ik表示家族i中的第k個樣本，x_ij表示家族i中的第j個樣本，(x_ik-x_ij)表示樣本x_ik與樣本x_ij的距離，n_ci表示家族i中的樣本總數；

是整個數據集的全局中心點，表示與全局所有樣本點距離和最小的樣本點，的計算公式為：

公式(6)；

在公式(6)中，x_k表示全局的第k個樣本，x_j表示全局的第j個樣本，n表示全局樣本的總數。