[發(fā)明專利]一種病毒檢測(cè)方法、裝置和介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010463067.4
• 申請(qǐng)日: 2020-05-27
• 公開(kāi)（公告）號(hào): CN111371812B
• 公開(kāi)（公告）日: 2020-09-01
• 發(fā)明（設(shè)計(jì)）人: 劉敏;齊文杰;魏向前;程虎;沈江波;彭寧;曹有理;譚昱
• 申請(qǐng)（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;G06N20/00
• 代理公司: 廣州三環(huán)專利商標(biāo)代理有限公司 44202
• 代理人: 熊永強(qiáng);賈允

1.一種病毒檢測(cè)方法，其特征在于，所述方法包括：

獲取包含父子文件的可疑文件，所述可疑文件中的父文件為白文件，所述可疑文件中的子文件的文件屬性為灰或者未知；

確定所述父文件的第一基礎(chǔ)靜態(tài)特征以及所述子文件的第二基礎(chǔ)靜態(tài)特征；

基于樣本文件集、所述第一基礎(chǔ)靜態(tài)特征和所述第二基礎(chǔ)靜態(tài)特征生成所述可疑文件對(duì)應(yīng)的第一分布特征；

獲取所述樣本文件集中每個(gè)樣本文件對(duì)應(yīng)的對(duì)象標(biāo)識(shí)，得到對(duì)象標(biāo)識(shí)集；

獲取所述可疑文件對(duì)應(yīng)的目標(biāo)對(duì)象標(biāo)識(shí)，以及基于所述目標(biāo)對(duì)象標(biāo)識(shí)和所述對(duì)象標(biāo)識(shí)集確定所述可疑文件對(duì)應(yīng)的第二分布特征；

以所述第一基礎(chǔ)靜態(tài)特征、所述第二基礎(chǔ)靜態(tài)特征、所述第一分布特征和所述第二分布特征為輸入，利用白利用病毒的病毒檢測(cè)模型輸出所述可疑文件的病毒檢測(cè)結(jié)果；

其中，所述病毒檢測(cè)模型是基于所述樣本文件集中已標(biāo)注的樣本文件對(duì)應(yīng)的特征進(jìn)行機(jī)器學(xué)習(xí)訓(xùn)練確定的，所述樣本文件對(duì)應(yīng)的特征包括所述樣本文件中父子文件的基礎(chǔ)靜態(tài)特征、所述樣本文件對(duì)應(yīng)的第一分布特征和所述樣本文件對(duì)應(yīng)的第二分布特征。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述病毒檢測(cè)模型的訓(xùn)練過(guò)程包括如下步驟：

獲取所述樣本文件集，以及將所述樣本文件集劃分為正負(fù)樣本文件集和可疑樣本文件集，所述正負(fù)樣本文件集中的正樣本文件攜帶的病毒標(biāo)注指示白利用病毒；

基于所述正負(fù)樣本文件集對(duì)應(yīng)的特征，使用預(yù)設(shè)機(jī)器學(xué)習(xí)模型進(jìn)行病毒檢測(cè)訓(xùn)練，在訓(xùn)練中調(diào)整所述預(yù)設(shè)機(jī)器學(xué)習(xí)模型的模型參數(shù)至所述預(yù)設(shè)機(jī)器學(xué)習(xí)模型輸出的病毒檢測(cè)結(jié)果與輸入的樣本文件所攜帶的病毒標(biāo)注相匹配；

將調(diào)整后的模型參數(shù)所對(duì)應(yīng)的預(yù)設(shè)機(jī)器學(xué)習(xí)模型作為候選模型；

以所述可疑樣本文件集對(duì)應(yīng)的特征為輸入，利用所述候選模型輸出每個(gè)可疑樣本文件的病毒檢測(cè)結(jié)果；

基于所述可疑樣本文件的病毒檢測(cè)結(jié)果和預(yù)設(shè)判定規(guī)則，為所述可疑樣本文件添加病毒標(biāo)注；

基于攜帶有病毒標(biāo)注的可疑樣本文件，使用所述候選模型進(jìn)行病毒檢測(cè)訓(xùn)練，在訓(xùn)練中調(diào)整所述候選模型的模型參數(shù)至所述候選模型輸出的病毒檢測(cè)結(jié)果與輸入的樣本文件所攜帶的病毒標(biāo)注相匹配；

將調(diào)整后的模型參數(shù)所對(duì)應(yīng)的候選模型作為所述病毒檢測(cè)模型。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測(cè)結(jié)果和預(yù)設(shè)判定規(guī)則，為所述可疑樣本文件添加病毒標(biāo)注，包括：

當(dāng)所述可疑樣本文件的病毒檢測(cè)結(jié)果指示所述可疑樣本文件是白利用病毒時(shí)，基于所述預(yù)設(shè)判定規(guī)則獲取所述可疑樣本文件對(duì)應(yīng)的分布特征；

當(dāng)所述可疑樣本文件對(duì)應(yīng)的分布特征符合預(yù)設(shè)要求時(shí)，為所述可疑樣本文件添加負(fù)樣本文件攜帶的病毒標(biāo)注。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測(cè)結(jié)果和預(yù)設(shè)判定規(guī)則，為所述可疑樣本文件添加病毒標(biāo)注，包括：

當(dāng)所述可疑樣本文件的病毒檢測(cè)結(jié)果指示所述可疑樣本文件是白利用病毒時(shí)，基于所述預(yù)設(shè)判定規(guī)則獲取所述可疑樣本文件中父文件的數(shù)字簽名和子文件的數(shù)字簽名；

當(dāng)所述父文件的數(shù)字簽名和所述子文件的數(shù)字簽名相同時(shí)，為所述可疑樣本文件添加負(fù)樣本文件攜帶的病毒標(biāo)注。

5.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測(cè)結(jié)果和預(yù)設(shè)判定規(guī)則，為所述可疑樣本文件添加病毒標(biāo)注，包括：

當(dāng)所述可疑樣本文件的病毒檢測(cè)結(jié)果指示所述可疑文件為白利用病毒時(shí)，將所述可疑樣本文件中的子文件加入可疑子文件集；

基于所述可疑子文件集中每個(gè)可疑子文件對(duì)應(yīng)的靜態(tài)特征和動(dòng)態(tài)特征，對(duì)所述可疑子文件集進(jìn)行聚類處理得到至少一個(gè)可疑子文件子集；

分別從每個(gè)所述可疑子文件子集中選擇一個(gè)可疑子文件作為參考子文件；

基于所述預(yù)設(shè)判定規(guī)則確定所述參考子文件的病毒屬性，基于所述參考子文件的病毒屬性確定所述參考子文件對(duì)應(yīng)的可疑樣本文件的參考病毒標(biāo)注，以及將所述參考病毒標(biāo)注作為所述參考子文件所在可疑子文件子集中每個(gè)可疑子文件對(duì)應(yīng)的可疑樣本文件的病毒標(biāo)注；

分別利用每個(gè)所述可疑子文件子集中參考子文件對(duì)應(yīng)的參考病毒標(biāo)注標(biāo)注同一可疑子文件子集中每個(gè)可疑子文件對(duì)應(yīng)的可疑樣本文件。