[發(fā)明專利]一種樣本相似度的檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201510548448.1
• 申請日: 2015-08-31
• 公開（公告）號: CN105224600B
• 公開（公告）日: 2019-05-28
• 發(fā)明（設(shè)計(jì)）人: 陳卓;楊康;李亞東;胡劍飛;唐海;邢超
• 申請（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件(北京)有限公司
• 主分類號: G06F16/242
• 分類號: G06F16/242;G06F16/35
• 代理公司: 北京市浩天知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11276
• 代理人: 劉云貴

1.一種樣本相似度的檢測方法，其特征在于，所述的檢測方法包括：

獲取一待檢測的樣本，并根據(jù)所述樣本構(gòu)建布隆過濾器；

提取所述樣本中的常量信息，并根據(jù)所述常量信息生成字符串集合；其中，所述的常量信息至少包括：調(diào)用函數(shù)名稱、字符串信息、數(shù)值常量；

將所述字符串集合輸入至所述布隆過濾器中，生成所述字符串集合的二進(jìn)制位串，作為所述樣本的樣本特征；

計(jì)算所述樣本特征與基準(zhǔn)樣本特征之間的相似度。

2.根據(jù)權(quán)利要求1所述的樣本相似度的檢測方法，其特征在于，所述的檢測方法還包括：

根據(jù)所述相似度對所述樣本進(jìn)行分類。

3.根據(jù)權(quán)利要求2所述的樣本相似度的檢測方法，其特征在于，根據(jù)所述相似度對所述樣本進(jìn)行分類，進(jìn)一步包括：

判斷所述相似度與一預(yù)設(shè)閾值距離的大小關(guān)系；

當(dāng)所述相似度小于所述預(yù)設(shè)閾值距離時，將所述樣本與所述相似度對應(yīng)的基準(zhǔn)樣本劃分為一類。

4.根據(jù)權(quán)利要求1所述的樣本相似度的檢測方法，其特征在于，所述的樣本包括：計(jì)算機(jī)病毒文件、計(jì)算機(jī)木馬文件、計(jì)算機(jī)惡意軟件。

5.根據(jù)權(quán)利要求1所述的樣本相似度的檢測方法，其特征在于，計(jì)算所述樣本特征與基準(zhǔn)樣本特征之間的相似度，包括：

計(jì)算所述樣本特征與基準(zhǔn)樣本特征之間的漢明距離，作為所述的相似度。

6.根據(jù)權(quán)利要求1所述的樣本相似度的檢測方法，其特征在于，所述的檢測方法還包括：

根據(jù)所述布隆過濾器的容量及誤差率計(jì)算所述布隆過濾器的二進(jìn)制位串存儲長度。

7.一種樣本相似度的檢測裝置，其特征在于，所述的檢測裝置包括：

布隆過濾器構(gòu)建單元，用于獲取一待檢測的樣本，并根據(jù)所述樣本構(gòu)建布隆過濾器；

字符串集合提取單元，用于提取所述樣本中的常量信息，并根據(jù)所述常量信息生成字符串集合；其中，所述的常量信息至少包括：調(diào)用函數(shù)名稱、字符串信息、數(shù)值常量；

樣本特征生成單元，用于將所述字符串集合輸入至所述布隆過濾器中，生成所述字符串集合的二進(jìn)制位串，作為所述樣本的樣本特征；

相似度計(jì)算單元，用于計(jì)算所述樣本特征與基準(zhǔn)樣本特征之間的相似度。

8.根據(jù)權(quán)利要求7所述的樣本相似度的檢測裝置，其特征在于，所述的檢測裝置還包括：

分類單元，用于根據(jù)所述相似度對所述樣本進(jìn)行分類。

9.根據(jù)權(quán)利要求8所述的樣本相似度的檢測裝置，其特征在于，所述的分類單元包括：

距離判斷模塊，用于判斷所述相似度與一預(yù)設(shè)閾值距離的大小關(guān)系；

分類模塊，用于當(dāng)所述相似度小于所述預(yù)設(shè)閾值距離時，將所述樣本與所述相似度對應(yīng)的基準(zhǔn)樣本劃分為一類。

10.根據(jù)權(quán)利要求7所述的樣本相似度的檢測裝置，其特征在于，所述的樣本包括：計(jì)算機(jī)病毒文件、計(jì)算機(jī)木馬文件、計(jì)算機(jī)惡意軟件。

11.根據(jù)權(quán)利要求7所述的樣本相似度的檢測裝置，其特征在于，所述的相似度計(jì)算單元具體用于：

計(jì)算所述樣本特征與基準(zhǔn)樣本特征之間的漢明距離，作為所述的相似度。

12.根據(jù)權(quán)利要求7所述的樣本相似度的檢測裝置，其特征在于，所述的檢測裝置還包括：

存儲長度計(jì)算單元，用于根據(jù)所述布隆過濾器的容量及誤差率計(jì)算所述布隆過濾器的二進(jìn)制位串存儲長度。