[發明專利]惡意文件的識別方法及裝置

有效

• 申請號: 201611067380.6
• 申請日: 2016-11-28
• 公開（公告）號: CN106778241B
• 公開（公告）日: 2020-12-25
• 發明（設計）人: 杜強
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 北京鼎佳達知識產權代理事務所(普通合伙) 11348
• 代理人: 劉喆;劉鐵生

1.一種惡意文件的識別方法，其特征在于，包括：

獲取目標文件的動態特征向量及靜態特征向量；

將所述目標文件的動態特征向量及靜態特征向量輸入到預置分類器中，計算所述目標文件的文件內容惡意概率；

根據所述目標文件的文件內容惡意概率和所述目標文件的文件來源惡意概率識別所述目標文件是否為惡意文件，所述目標文件的文件來源惡意概率是根據目標文件的來源信息確定的，其中，當目標文件的來源信息匹配上預置惡意來源庫中的多個類型的條目時，所述目標文件的文件來源惡意概率基于所述多個類型的內容的組合而得；

所述方法還包括：

通過惡意文本樣本和添加的噪音訓練所述預置分類器；

所述通過惡意文本和添加的噪音訓練所述預置分類器包括：

將所述惡意文件樣本和根據預置噪音知識庫添加的第一噪音放入網絡沙箱系統中執行，得到所述惡意文件樣本的行為日志；

通過所述惡意文件樣本的行為日志和根據預置噪音知識庫添加的第二噪音獲取所述惡意文件樣本的動態特征向量；

通過所述惡意文件樣本和根據預置噪音知識庫添加的第三噪音獲取所述惡意文件樣本的靜態特征向量；

根據所述惡意文件樣本的靜態特征向量及動態特征向量獲取所述惡意文件樣本的噪音特征向量；

通過未添加噪音惡意文件樣本對應的特征向量和添加噪音惡意文件樣本對應的噪音特征向量訓練所述預置分類器。

2.根據權利要求1所述的方法，其特征在于，所述根據所述目標文件的文件內容惡意概率和所述目標文件的文件來源惡意概率識別所述目標文件是否為惡意文件之前，所述方法還包括：

獲取所述目標文件的來源信息；

通過匹配所述目標文件的來源信息與預置惡意來源庫中的惡意來源數據，確定所述目標文件的文件來源惡意概率。

3.根據權利要求1所述的方法，其特征在于，所述獲取目標文件的動態特征向量包括：

將所述目標文件放入網絡沙箱系統中執行，得到所述目標文件的行為日志；所述網絡沙箱系統由一組虛擬機構成的一個虛擬交換網絡構成；

從所述目標文件的行為日志中獲取所述目標文件的動態特征向量。

4.根據權利要求1所述的方法，其特征在于，所述根據所述目標文件的文件內容惡意概率和所述目標文件的文件來源惡意概率識別所述目標文件是否為惡意文件包括：

將所述目標文件是惡意文件時目標文件的文件內容惡意概率、所述目標文件的文件內容惡意概率和所述目標文件的文件來源惡意概率代入貝葉斯公式計算所述目標文件的惡意文件概率；

根據所述目標文件的惡意文件概率確定所述目標文件是否為惡意文件。

5.一種惡意文件的識別裝置，其特征在于，包括：

獲取單元，用于獲取目標文件的動態特征向量及靜態特征向量；

計算單元，用于將所述目標文件的動態特征向量及靜態特征向量輸入到預置分類器中，得到所述目標文件的文件內容惡意概率；

識別單元，用于根據所述目標文件的文件內容惡意概率和所述目標文件的文件來源惡意概率識別所述目標文件是否為惡意文件，所述目標文件的文件來源惡意概率是根據目標文件的來源信息確定的，其中，當目標文件的來源信息匹配上預置惡意來源庫中的多個類型的條目時，所述目標文件的文件來源惡意概率基于所述多個類型的內容的組合而得；

所述裝置還包括：

訓練單元，用于通過惡意文本樣本和添加的噪音訓練所述預置分類器；

所述訓練單元包括： 獲取模塊，用于將所述惡意文件樣本和根據預置噪音知識庫添加的第一噪音放入網絡沙箱系統中執行，得到所述惡意文件樣本的行為日志；

所述獲取模塊，用于通過所述惡意文件樣本的行為日志和根據預置噪音知識庫添加的第二噪音獲取所述惡意文件樣本的動態特征向量；

所述獲取模塊，用于通過所述惡意文件樣本和根據預置噪音知識庫添加的第三噪音獲取所述惡意文件樣本的靜態特征向量；

所述獲取模塊，用于根據所述惡意文件樣本的靜態特征向量及動態特征向量獲取所述惡意文件樣本的噪音特征向量；

訓練模塊，用于通過未添加噪音惡意文件樣本對應的特征向量和添加噪音惡意文件樣本對應的噪音特征向量訓練所述預置分類器。