[发明专利]恶意特征提取方法、装置及存储介质

权利要求书

1.一种恶意特征提取方法，其特征在于，包括：

选取用来提取特征的黑文件集和与黑文件集数量相当的白文件集；

将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；

对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。

2.根据权利要求1所述的方法，其特征在于，设定所述黑文件集中所有黑文件的向量为黑向量集，所述白文件集中所有白文件的向量为白向量集，所述对黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征的步骤包括：

从所述黑向量集中随机选取两黑向量，提取两黑向量的共有维度，作为黑维度集；从所述白向量集中随机选取两白向量，提取两白向量的共有维度，作为白维度集；

将所述黑维度集中所有出现在所述白维度集中的维度去掉，形成新的黑维度集，对所述白维度集和新的黑维度集中的每一维度赋予权重；

将所述白维度集和新的黑维度集根据权重分别进行维度合并，并将合并后权重低于预定权重阀值的维度丢弃；以此循环上述三个步骤，直至所述黑向量集和白向量集中所有的向量处理完毕。

3.根据权利要求2所述的方法，其特征在于，所述对黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征的步骤进一步包括：

当所述黑向量集和白向量集中所有的向量处理完毕后，用合并后的白维度集过滤合并后的黑维度集；

对过滤后的黑维度集按照权重大小排序，取出排名最高的前K维的黑维度作为最终维度。

4.根据权利要求1所述的方法，其特征在于，所述将黑文件集中的黑文件以及白文件集中的白文件转换为多维向量的步骤包括：

从所述黑文件或白文件中提取有效样本特征key；

将所述黑文件或白文件中所有有效样本特征key及其值value组成（key：value）对，将所述黑文件或白文件转换为多维向量。

5.根据权利要求4所述的方法，其特征在于，所述有效样本特征key至少包括以下之一：字符串、指令序列、函数过程、导入导出函数以及各个段的属性。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述用来提取特征的黑文件集和白文件集分别指预先收集的已知的恶意文件集和正常文件集；所述黑文件集中包括同类型或其变种的恶意文件。

7.一种恶意特征提取装置，其特征在于，包括：

选取模块，用于选取用来提取特征的黑文件集和与黑文件集数量相当的白文件集；

转换模块，用于将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；

提取模块，用于对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。

8.根据权利要求7所述的装置，其特征在于，设定所述黑文件集中所有黑文件的向量为黑向量集，所述白文件集中所有白文件的向量为白向量集，所述提取模块包括：

第一提取单元，用于从所述黑向量集中随机选取两黑向量，提取两黑向量的共有维度，作为黑维度集；从所述白向量集中随机选取两白向量，提取两白向量的共有维度，作为白维度集； 

筛选单元，用于将所述黑维度集中所有出现在所述白维度集中的维度去掉，形成新的黑维度集，对所述白维度集和新的黑维度集中的每一维度赋予权重；

合并单元，用于将所述白维度集和新的黑维度集根据权重分别进行维度合并，并将合并后权重低于预定权重阀值的维度丢弃。

9.根据权利要求8所述的装置，其特征在于，所述提取模块进一步还包括：

过滤单元，用于当所述黑向量集和白向量集中所有的向量处理完毕后，用合并后的白维度集过滤合并后的黑维度集；

第二提取单元，用于对过滤后的黑维度集按照权重大小排序，取出排名最高的前K维的黑维度作为最终维度。

10.根据权利要求7-9中任一项所述的装置，其特征在于，所述转换模块包括：

样本特征提取单元，用于从所述黑文件或白文件中提取有效样本特征key；

转换单元，用于将所述黑文件或白文件中所有有效样本特征key及其值value组成（key：value）对，将所述黑文件或白文件转换为多维向量。

11.一种计算机可读取的存储介质，在其上存储了使计算机能够运行的程序，在程序装入计算机的存储器内后，选取用来提取特征的黑文件集和与黑文件集数量相当的白文件集；将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。