[发明专利]恶意特征提取方法、装置及存储介质

说明书

技术领域

本发明涉及互联网技术领域，特别涉及安全领域，尤其涉及一种恶意特征提取方法、装置及存储介质。

背景技术

随着互联网技术的发展，病毒的传播也在加剧。病毒对用户信息的安全和用户财产造成了极大的危害，因此，开发反应迅速、高效、查毒率且正确率高的杀毒引擎已成为当今互联网信息安全界的重点。

传统的杀毒引擎通常采用的病毒识别技术如下：分析人员分析病毒文件、提取病毒特征、将病毒特征入库、杀毒引擎根据病毒库扫描现有文件，如果遇到能够匹配上的特征则报毒。

现有的提取病毒特征技术完全依靠分析人员的经验，对比同一类的病毒，找出它们共有部分，将这些共有部分中没有出现在所有白文件中的特征保留下来作为病毒的特征。

但是，现有的病毒特征提取技术存在以下弊端：

1、对分析人员的专业技能要求较高，而提取病毒特征的质量决定了误报率和报出率，一方面，对于一个家族的病毒（即行为基本一致的病毒）提取共有特征越多，则误报的可能性越低，但是对于该家族病毒的变种的识别率就越低，即报出率越低；另一方面，一个家族提取的共有特征越少，这些特征与白文件重叠的可能性就越高，也就是误报率越高；从中找出一个平衡点则极大地依赖于分析人员的经验；

2、系统响应慢，分析病毒文件以及提取病毒特征十分耗时，导致一些新的病毒没有得到及时处理；

3、效率低，随着病毒库记录的增多，为了碰撞每一条记录，所需要的时间会成几何倍数增加；

4、对病毒的发现不及时，相对于海量的新的病毒种类，由于分析人员的处理能力有限，对于一些病毒的处理，只有等病毒爆发时才会被发现或重视，继而进行处理，而此时病毒已造成了相当大的危害。

发明内容

本发明的主要目的在于提供一种恶意特征提取方法、装置及存储介质，旨在提高病毒等恶意特征的提取效率。

为了达到上述目的，本发明提出一种恶意特征提取方法，包括：

选取用来提取特征的黑文件集和与黑文件集数量相当的白文件集；

将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；

对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。

本发明还提出一种恶意特征提取装置，包括：

选取模块，用于选取用来提取特征的黑文件集和与黑文件集数量相当且各不相同的白文件集；

转换模块，用于将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；

提取模块，用于对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。

本发明还提出一种计算机可读取的存储介质，在其上存储了使计算机能够运行的程序，在程序装入计算机的存储器内后，选取用来提取特征的黑文件集和与黑文件集数量相当的白文件集；将所述黑文件集中的黑文件以及白文件集中的白文件转换为多维向量；对所述黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征。

本发明提出的一种恶意特征提取方法、装置及存储介质，通过对已知的黑文件集和白文件集进行向量转换，并对转换的向量进行维度合并和筛选，可自动及时、准确并有效的提取病毒等恶意特征，不仅能省去大量的分析人员，而且极大地降低了人为主观因素的影响，同时在反应速度上有极大的提高。

附图说明

图1是本发明恶意特征提取方法较佳实施例的流程示意图；

图2是本发明恶意特征提取方法较佳实施例中对黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征的流程示意图；

图3是本发明恶意特征提取方法较佳实施例中对黑文件集中的黑文件以及白文件集中的白文件的向量进行维度合并和筛选，提取恶意特征的一种实例的流程示意图；

图4是本发明恶意特征提取装置较佳实施例的结构示意图；

图5是本发明恶意特征提取装置较佳实施例中提取模块的结构示意图；

图6是本发明恶意特征提取装置较佳实施例中转换模块的结构示意图。

为了使本发明的技术方案更加清楚、明了，下面将结合附图作进一步详述。

具体实施方式

本发明实施例解决方案主要是：自动对已知的黑文件集和白文件集进行向量转换，并对转换的向量进行维度合并和筛选，提高恶意特征的提取效率。

本发明中恶意文件可以为病毒文件或其他恶意的文件，以下实施例以病毒文件举例说明。其中，涉及的技术术语包括：

黑文件：病毒文件