[發明專利]異常文件識別方法及裝置

有效

• 申請號: 201710263599.1
• 申請日: 2017-04-20
• 公開（公告）號: CN107169353B
• 公開（公告）日: 2021-05-14
• 發明（設計）人: 姜澎;畢磊;吳彬;郭曉龍;蘇蒙;申金娟
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 朱雅男

1.一種異常文件識別方法，其特征在于，所述方法包括：

對于多個樣本異常文件中每個樣本異常文件，將所述樣本異常文件中包括的多個類型劃分為多組，每組包括與同一數據層對應的至少一個類型；

對所述樣本異常文件中的數據進行分類，得到與所述多組分別匹配的多個數據層，使得同一數據層中包括對應的至少一個類型的數據，不同數據層的數據的類型不同；

獲取所述多個數據層的特征，組成所述樣本異常文件的特征集合；

根據所述多個樣本異常文件確定公共數據串，所述公共數據串為至少兩個樣本異常文件的指定數據層均包括的數據串，所述指定數據層為數據串數量滿足條件的數據層，所述數據串為連續的一串數據；

獲取待識別的目標文件；

根據所述目標文件的多個數據層的特征，獲取所述目標文件的特征集合；

當所述特征集合中的每個特征與任一樣本異常文件的相同數據層的特征均匹配時，確定所述特征集合與所述任一樣本異常文件的特征集合匹配；

當所述特征集合與所述任一樣本異常文件的特征集合匹配，且所述目標文件與所述任一樣本異常文件的指定數據層均包括所述公共數據串時，確定所述目標文件為異常文件。

2.根據權利要求1所述的方法，其特征在于，所述根據所述多個樣本異常文件確定公共數據串，包括：

獲取所述多個樣本異常文件的指定數據層中的數據串，得到多個數據串；

確定所述多個數據串中每個數據串的覆蓋率，數據串的覆蓋率為所述指定數據層包括所述數據串的樣本異常文件的數量；

根據所述每個數據串的覆蓋率，從所述多個數據串中選取所述公共數據串。

3.根據權利要求2所述的方法，其特征在于，所述根據所述每個數據串的覆蓋率，從所述多個數據串中選取所述公共數據串，包括：

從所述多個數據串中，選取所述多個樣本異常文件的指定數據層均包括的數據串，作為所述公共數據串。

4.根據權利要求2所述的方法，其特征在于，所述根據所述每個數據串的覆蓋率，從所述多個數據串中選取所述公共數據串，包括：

當所述多個數據串不包括所述多個樣本異常文件的指定數據層均包括的數據串時，從所述多個數據串中選取覆蓋率最大的第一數據串；

確定所述指定數據層不包括所述第一數據串的多個樣本異常文件，確定所述多個樣本異常文件的指定數據層均包括的第二數據串；

將所述第一數據串和所述第二數據串均作為所述公共數據串。

5.一種異常文件識別裝置，其特征在于，所述裝置包括：

類型劃分模塊，用于對于多個樣本異常文件中每個樣本異常文件，將所述樣本異常文件中包括的多個類型劃分為多組，每組包括與同一數據層對應的至少一個類型；

數據層劃分模塊，用于對所述樣本異常文件中的數據進行分類，得到與所述多組分別匹配的多個數據層，使得同一數據層中包括對應的至少一個類型的數據，不同數據層的數據的類型不同；

特征集合獲取模塊，用于獲取所述多個數據層的特征，組成所述樣本異常文件的特征集合；

公共數據串獲取模塊，用于根據所述多個樣本異常文件確定公共數據串，所述公共數據串為至少兩個樣本異常文件的指定數據層均包括的數據串，所述指定數據層為數據串數量滿足條件的數據層，所述數據串為連續的一串數據；

目標文件獲取模塊，用于獲取待識別的目標文件；

所述特征集合獲取模塊，還用于根據所述目標文件的多個數據層的特征，獲取所述目標文件的特征集合；

異常文件確定模塊，用于當所述特征集合中的每個特征與任一樣本異常文件的相同數據層的特征均匹配時，確定所述特征集合與所述任一樣本異常文件的特征集合匹配；

所述異常文件確定模塊，用于當所述特征集合與所述任一樣本異常文件的特征集合匹配，且所述目標文件與所述任一樣本異常文件的指定數據層均包括所述公共數據串時，確定所述目標文件為異常文件。