[發明專利]一種程序惡意屬性判別方法和服務器

有效

• 申請號: 201110243121.5
• 申請日: 2011-08-23
• 公開（公告）號: CN102955912A
• 公開（公告）日: 2013-03-06
• 發明（設計）人: 王洪彬
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州三環專利代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種程序惡意屬性判別方法，其特征在于，所述方法包括：

獲取所述程序在客戶端的行為數據；

根據所述程序的行為數據和本地存儲的樣本數據，獲得所述程序的惡意行為和惡意行為值，其中，所述樣本數據中包括惡意程序樣本集合和非惡意程序樣本集合，所述惡意行為值反映所述惡意行為的惡意程度；

根據所述程序的惡意行為或/和惡意行為值判斷所述程序的惡意屬性。

2.如權利要求1所述的方法，其特征在于，所述方法還包括：

根據所述本地存儲的樣本數據獲得惡意行為集合，并獲得所述惡意行為集合中的惡意行為的惡意行為值。

3.如權利要求2所述的方法，其特征在于，所述樣本數據中的惡意程序樣本集合和非惡意程序樣本集合中的樣本數量相同，所述惡意行為根據下式選擇：

Action_evilⁱ＝(Action_posⁱ-Action_negⁱ)

Action_posⁱ表示惡意程序樣本集合中發生行為i的頻數，Action_negⁱ表示在非惡意程序樣本集合中發生行為i的頻數，當Action_evilⁱ大于預定的閾值時，判定行為i為惡意行為。

4.如權利要求2所述的方法，其特征在于，所述惡意行為值根據下式確定：

score_newⁱ＝score_oldⁱ×(1+rateⁱ)

rateⁱ＝IsBlack_{today_rate}ⁱ-IsBlack_{yesterday_rate}ⁱ

score_newⁱ表示惡意行為i的新的惡意行為值，score_oldⁱ表示惡意行為i的現有的惡意行為值，rateⁱ表示惡意行為i變化率，IsBlack_{today_rate}ⁱ表示當前記錄的惡意行為i的惡意行為百分率，IsBlack_{yesterday_rate}ⁱ表示前一次記錄的惡意行為i的惡意行為百分率。

5.如權利要求1至4中任一項所述的方法，其特征在于，根據所述程序的惡意行為或/和惡意行為值判斷所述程序的惡意屬性包括：

當所述程序的任一惡意行為值大于高危閾值時，判定所述程序為惡意程序；

當所述程序沒有任何一個惡意行為值大于高危閾值，但是所述程序的所有惡意行為的惡意行為值之和大于總惡意閾值時，判定所述程序為惡意程序。

6.如權利要求1至4中任一項所述的方法，其特征在于，所述方法用于云引擎查毒系統中。

7.一種程序惡意屬性判別服務器，其特征在于，所述服務器包括：

客戶數據獲取單元，用于獲取所述程序在客戶端的行為數據；

行為數據獲取單元，用于根據所述程序的行為數據和本地存儲的樣本數據，獲得所述程序的惡意行為和惡意行為值，其中，所述樣本數據中包括惡意程序樣本集合和非惡意程序樣本集合，所述惡意行為值反映所述惡意行為的惡意程度；

判定單元，用于根據所述程序的惡意行為或/和惡意行為值判斷所述程序的惡意屬性。