[發(fā)明專利]提取病毒文件特征碼的裝置和方法以及病毒檢測系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201110418934.3
• 申請日: 2011-12-15
• 公開（公告）號(hào): CN103164651A
• 公開（公告）日: 2013-06-19
• 發(fā)明（設(shè)計(jì)）人: 郭代飛;郭濤;隋愛芬
• 申請（專利權(quán)）人: 西門子公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京康信知識(shí)產(chǎn)權(quán)代理有限責(zé)任公司 11240
• 代理人: 李慧

1.一種提取病毒文件(10，30)特征碼的裝置(100)，其包括：

文件掃描單元(110)，構(gòu)造為掃描該病毒文件并確定其類型；

對比單元(120)，構(gòu)造為將所述病毒文件的文件塊與一組與該病毒文件同類型的樣本文件對應(yīng)位置的特征塊進(jìn)行對比；

特征選取單元(130)，構(gòu)造為根據(jù)該對比的結(jié)果，提取該病毒文件中至少一個(gè)這樣的文件塊作為該病毒文件的特征碼，即該文件塊與該組樣本文件的每個(gè)樣本文件中對應(yīng)位置的特征塊均不相同。

2.根據(jù)權(quán)利要求1所述的提取病毒文件(10，30)特征碼的裝置(100)，其特征在于，該對比單元(120)構(gòu)造為輸出包括病毒文件文件塊和對應(yīng)第一計(jì)數(shù)器值的第一集合，所述第一計(jì)數(shù)器值表示某個(gè)文件塊與多少樣本文件對應(yīng)位置的特征塊相同。

3.根據(jù)權(quán)利要求2所述的提取病毒文件(10，30)特征碼的裝置(100)，其特征在于，該特征選取單元(130)構(gòu)造為選擇該對比單元(120)輸出的該第一集合中至少一個(gè)對應(yīng)第一計(jì)數(shù)器值為零的文件塊作為該病毒文件的特征碼。

4.一種提取病毒文件(10，30)特征碼的裝置(100)，包括：

文件掃描單元(110)，構(gòu)造為掃描該病毒文件并確定其類型；

對比單元(120)，構(gòu)造為將所述病毒文件的文件塊與一組與該病毒文件同類型的樣本文件對應(yīng)位置的特征塊進(jìn)行對比；

特征選取單元(130′)，構(gòu)造為根據(jù)該對比的結(jié)果，提取該病毒文件中這樣一組文件塊作為該病毒文件的特征碼，即該組樣本文件的每個(gè)樣本文件都沒有與該組文件塊相同的特征塊組合。

5.根據(jù)權(quán)利要求4所述的提取病毒文件(10，30)特征碼的裝置(100)，其特征在于，該對比單元(120)構(gòu)造為輸出包括病毒文件文件塊和對應(yīng)第一計(jì)數(shù)器值的第一集合，所述第一計(jì)數(shù)器值表示某個(gè)文件塊與多少樣本文件對應(yīng)位置的特征塊相同。

6.根據(jù)權(quán)利要求5所述的提取病毒文件(10，30)特征碼的裝置(100)，其特征在于，該特征選取單元(130′)構(gòu)造為執(zhí)行至少一次下面的循環(huán)：

選擇該第一集合中對應(yīng)第一計(jì)數(shù)器值最小的文件塊加入第二集合；

判斷每個(gè)樣本文件中是否存在與該第二集合的文件塊組合相同的特征塊組合。

7.一種病毒檢測系統(tǒng)(200)，包括：

病毒文件管理模塊(210)，構(gòu)造為接收病毒文件(10，30)；

病毒文件預(yù)處理模塊(220)，構(gòu)造為檢測所接收到的該病毒文件是否為新病毒；

病毒文件特征碼提取模塊(230)，構(gòu)造為提取該病毒文件的特征碼，其中該病毒文件特征碼提取模塊(230)是權(quán)利要求1-3或4-6任一項(xiàng)所述的提取病毒文件特征碼的裝置(100)；

病毒監(jiān)測模塊(260)，構(gòu)造為根據(jù)所提取的病毒文件的特征碼檢測病毒；

病毒特征庫同步模塊(250)，構(gòu)造為將病毒文件特征碼發(fā)送到該病毒監(jiān)測模塊(260)。

8.一種提取病毒文件特征碼的方法(300)，包括：

掃描病毒文件(10，30)確定其類型；

將該病毒文件與根據(jù)該文件的類型選取的樣本文件進(jìn)行對比；

根據(jù)對比的結(jié)果提取該病毒文件特征碼。

9.根據(jù)權(quán)利要求8所述的提取病毒文件特征碼的方法(300)，其特征在于，所述將該病毒文件與根據(jù)該文件的類型選取的樣本文件進(jìn)行對比包括：得到包含文件塊和對應(yīng)第一計(jì)數(shù)器值的第一集合。

10.根據(jù)權(quán)利要求9所述的提取病毒文件特征碼的方法(300)，其特征在于，所述根據(jù)對比的結(jié)果提取該病毒文件特征碼包括：選擇至少一個(gè)對應(yīng)該第一計(jì)數(shù)器值為零的文件塊作為病毒文件特征碼。

11.根據(jù)權(quán)利要求9所述的提取病毒文件特征碼的方法(300)，其特征在于，所述根據(jù)對比的結(jié)果提取該病毒文件特征碼包括：選擇這樣的文件塊組合作為病毒文件特征碼，即在每個(gè)樣本文件中都沒有與該病毒文件的該文件塊組合相同的特征塊組合，其執(zhí)行至少一次下面的循環(huán)步驟：

選擇該第一集合中對應(yīng)第一計(jì)數(shù)器值最小的文件塊加入第二集合；

判斷每個(gè)樣本文件中是否存在與該第二集合的文件塊組合相同的特征塊組合。

12.一種計(jì)算機(jī)可讀介質(zhì)，存儲(chǔ)用于執(zhí)行權(quán)利要求8-11任一項(xiàng)所述方法的計(jì)算機(jī)可讀指令。

13.一種計(jì)算機(jī)程序，包括用于執(zhí)行權(quán)利要求8-11任一項(xiàng)所述方法的計(jì)算機(jī)可讀指令。