[發明專利]惡意軟件辨識裝置及方法

有效

• 申請號: 201811249190.5
• 申請日: 2018-10-25
• 公開（公告）號: CN111079141B
• 公開（公告）日: 2022-05-27
• 發明（設計）人: 徐暐釗;柯盈圳;陳俊良;陳昱宏;陳彥儒
• 申請（專利權）人: 財團法人資訊工業策進會
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 王俠

1.一種惡意軟件辨識裝置，其特征在于，包含：

一儲存器，儲存一訓練數據集與一測試數據集，其中，該訓練數據集與該測試數據集各包含多個網絡流量數據集，各該網絡流量數據集對應至多個軟件類別其中之一，該多個軟件類別包含多個惡意軟件類別；以及

一處理器，電性連接至該儲存器，以該測試數據集測試出一惡意軟件辨識模型對該多個惡意軟件類別的一子集的多個第一辨識率低于一第一門檻值，判斷該子集所對應的該多個網絡流量數據集的一重疊程度大于一第二門檻值，且基于該重疊程度大于該第二門檻值的判斷結果，合并該子集所對應的該多個惡意軟件類別以更新該多個軟件類別，借由整合該子集所對應的該多個網絡流量數據集以更新該訓練數據集，且以更新后的該訓練數據集訓練該惡意軟件辨識模型；

其中，該處理器還以訓練后的該惡意軟件辨識模型辨識一實際網絡流量數據集以獲得一實際辨識結果。

2.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該子集包含一第一惡意軟件類別與一第二惡意軟件類別，該處理器判斷該第一惡意軟件類別所對應的該多個網絡流量數據集與該第二惡意軟件類別所對應的該多個網絡流量數據集的該重疊程度大于該第二門檻值，該處理器借由以下運作整合該子集所對應的該多個網絡流量數據集：保留該第一惡意軟件類別所對應的該多個網絡流量數據集，以及舍棄該第二惡意軟件類別所對應的該多個網絡流量數據集。

3.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該子集包含一第一惡意軟件類別與一第二惡意軟件類別，該處理器判斷該第一惡意軟件類別所對應的該多個網絡流量數據集與該第二惡意軟件類別所對應的該多個網絡流量數據集的該重疊程度大于該第二門檻值，且該處理器借由取該第一惡意軟件類別所對應的該多個網絡流量數據集與該第二惡意軟件類別所對應的該多個網絡流量數據集的一聯集以整合該子集所對應的該多個網絡流量數據集。

4.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該實際辨識結果包含一特定惡意軟件類別及一第二辨識率，該特定惡意軟件類別為該多個惡意軟件類別其中之一，該第二辨識率介于一第三門檻值及一第四門檻值之間，該處理器還借由整合該特定惡意軟件類別所對應的該多個網絡流量數據集與該實際網絡流量數據集以更新該訓練數據集，且以更新后的該訓練數據集訓練該惡意軟件辨識模型。

5.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該實際辨識結果包含一特定惡意軟件類別及一第二辨識率，該特定惡意軟件類別為該多個惡意軟件類別其中之一，該第二辨識率低于一第三門檻值，該處理器還借由增加一新惡意軟件類別以更新該多個軟件類別，且以該實際網絡流量數據集訓練該惡意軟件辨識模型中對應至該新惡意軟件類別的一子辨識模型。

6.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該儲存器還儲存各該惡意軟件類別所對應的一流量行為相關報告。

7.如權利要求6所述的惡意軟件辨識裝置，其特征在于，該實際辨識結果包含一特定惡意軟件類別，該特定惡意軟件類別為該多個惡意軟件類別其中之一，該處理器還根據該特定惡意軟件類別從該多個流量行為相關報告中擷取一實際流量行為相關報告。

8.如權利要求6所述的惡意軟件辨識裝置，其特征在于，該處理器還合并該子集所對應的該多個惡意軟件類別所對應的該多個流量行為相關報告。

9.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該實際辨識結果包含一特定惡意軟件類別，該處理器還封鎖該實際網絡流量數據集所對應的一應用程序。

10.如權利要求1所述的惡意軟件辨識裝置，其特征在于，該多個軟件類別還包含一正常軟件類別。