[發明專利]一種樣本相似度的檢測方法及裝置

有效

• 申請號: 201510548448.1
• 申請日: 2015-08-31
• 公開（公告）號: CN105224600B
• 公開（公告）日: 2019-05-28
• 發明（設計）人: 陳卓;楊康;李亞東;胡劍飛;唐海;邢超
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件(北京)有限公司
• 主分類號: G06F16/242
• 分類號: G06F16/242;G06F16/35
• 代理公司: 北京市浩天知識產權代理事務所(普通合伙) 11276
• 代理人: 劉云貴

本發明提供一種樣本相似度的檢測方法及裝置，該檢測方法包括：提取樣本中的字符串集合；將字符串集合輸入至布隆過濾器中，生成字符串集合的二進制位串，作為樣本的樣本特征；計算樣本特征與基準樣本特征之間的相似度；根據相似度對樣本進行分類。通過本發明，利用布隆過濾器的優異的空間效率，將通過布隆過濾器生成的二進制位串作為樣本的樣本特征，并根據該樣本特征來計算樣本的相似度，能夠節省樣本特征的存儲空間，并可提高樣本的特征計算和相似度計算過程中的效率。

技術領域

本發明是關于計算機安全領域，具體地，是關于一種樣本相似度檢測方法及裝置。

背景技術

在樣本分析過程中，需要計算不同樣本之間的相似度，以便用于樣本的家族分類，減少重復分析的工作量。現有的相似度計算方法是使用模糊哈希算法CTPH，然后計算不同哈希之間的加權編輯距離。然而，這種算法對信息的壓縮程度較大，因而對于文件差異的敏感程度較低，計算的復雜度也較高。

發明內容

本發明實施例的主要目的在于提供一種樣本相似度的檢測方法及裝置，以克服現有技術的上述缺點，利用布隆過濾器的優異的空間效率，提高針對樣本的特征計算和相似度計算過程中的效率。

為了實現上述目的，本發明實施例提供一種樣本相似度的檢測方法，該檢測方法包括：獲取一待檢測的樣本，并根據樣本構建布隆過濾器；提取樣本中的字符串集合；將字符串集合輸入至布隆過濾器中，生成字符串集合的二進制位串，作為樣本的樣本特征；計算樣本特征與基準樣本特征之間的相似度。

在一實施例中，上述的檢測方法還包括：根據相似度對樣本進行分類。

進一步地，根據相似度對樣本進行分類，包括：判斷相似度與一預設閾值距離的大小關系；當相似度小于預設閾值距離時，將樣本與相似度對應的基準樣本劃分為一類。

在一實施例中，提取樣本中的字符串集合，進一步包括：提取樣本中的常量信息，并根據常量信息生成字符串集合。

在一實施例中，上述的常量信息至少包括：調用函數名稱、字符串信息、數值常量。

在一實施例中，上述的樣本包括：計算機病毒文件、計算機木馬文件、計算機惡意軟件。

在一實施例中，計算樣本特征與基準樣本特征之間的相似度，包括：計算樣本特征與基準樣本特征之間的漢明距離，作為相似度。

在一實施例中，上述的檢測方法還包括：根據布隆過濾器的容量及誤差率計算布隆過濾器的二進制位串存儲長度。

本發明實施例還提供一種樣本相似度的檢測裝置，該檢測裝置包括：布隆過濾器構建單元，用于獲取一待檢測的樣本，并根據樣本構建布隆過濾器；字符串集合提取單元，用于提取樣本中的字符串集合；樣本特征生成單元，用于將字符串集合輸入至布隆過濾器中，生成字符串集合的二進制位串，作為樣本的樣本特征；相似度計算單元，用于計算樣本特征與基準樣本特征之間的相似度。

在一實施例中，上述的檢測裝置還包括；分類單元，用于根據相似度對樣本進行分類。

具體地，該分類單元包括：距離判斷模塊，用于判斷相似度與一預設閾值距離的大小關系；分類模塊，用于當相似度小于預設閾值距離時，將樣本與相似度對應的基準樣本劃分為一類。

在一實施例中，上述的字符串集合提取單元具體用于：提取樣本中的常量信息，并根據常量信息生成字符串集合。

在一實施例中，上述的常量信息至少包括：調用函數名稱、字符串信息、數值常量。

在一實施例中，上述的樣本包括：計算機病毒文件、計算機木馬文件、計算機惡意軟件。

在一實施例中，上述的相似度計算單元具體用于：計算樣本特征與基準樣本特征之間的漢明距離，作為相似度。