[发明专利]恶意程序识别及训练模型生成方法和装置

权利要求书

1.一种恶意程序识别方法，其包括：

分析未知程序以提取所述未知程序的特征；

根据所提取的特征对所述未知程序进行粗分类；

将所述未知程序输入与其粗分类相对应的已生成的训练模型及相应的决策机中进行判断；

根据判断结果确定所述未知程序为恶意程序或非恶意程序。

2.根据权利要求1所述的方法，其中，将所述未知程序输入与其粗分类相对应的已生成的训练模型及相应的决策机中进行判断进一步包括：

将未知程序分别输入与其粗分类相对应的一个或多个已生成的训练模型及相应的决策机中进行判断；

根据预先设置的每种特征分类在每个训练模型中的权重，将每个训练模型及相应的决策机对所述未知程序进行判断的结果进行加权计算以得到判断结果。

3.根据权利要求1或2所述的方法，其中，所述训练模型通过下面步骤得到：

提取海量程序，所述海量程序包括恶意程序和非恶意程序；

从每个程序中提取特征并对所提取的特征进行分类；

根据所述分类的结果，将不同类别的特征使用不同的决策机进行训练，生成用于识别恶意程序的训练模型或训练模型集合。

4.根据权利要求3所述的方法，其中，所述从每个程序中提取特征包括：

分析每个程序的程序文件并从所述程序文件中抽取预先定义的特征；

根据所抽取的特征生成特征向量，以及每个特征向量的黑白属性。

5.根据权利要求3所述的方法，其中，所述对所提取的特征进行分类具体为：根据已知编译器的入口指令序列判定编译生成相应程序的编译器类型。

6.根据权利要求3所述的方法，其中，所述决策机包括：支持向量机的决策机或决策树的决策机。

7.根据权利要求3所述的方法，其中，所述训练模型为带编码的训练模型、或压缩的训练模型。

8.一种恶意程序识别装置，其包括：

提取单元，适于分析未知程序以提取所述未知程序的特征；

粗分组单元，适于根据所提取的特征对所述未知程序进行粗分类；

判断单元，适于将所述未知程序输入与其粗分类相对应的已生成的训练模型及相应的决策机中进行判断；

确定单元，适于根据判断结果确定所述未知程序为恶意程序或非恶意程序。

9.根据权利要求8所述的装置，其中，所述判断单元还包括：

程序输入单元，适于将未知程序分别输入与其粗分类相对应的一个或多个已生成的训练模型及相应的决策机中进行判断；

加权计算单元，适于根据预先设置的每种特征分类在每个训练模型中的权重，将每个训练模型及相应的决策机对所述未知程序进行判断的结果进行加权计算以得到判断结果。

10.根据权利要求8所述的装置，其中，所述训练模型通过下面单元得到：

程序提取单元，适于提取海量程序，所述海量程序包括恶意程序和非恶意程序；

分类单元，适于从每个程序中提取特征并对所提取的特征进行分类；

生成单元，适于根据所述分类的结果，将不同类别的特征使用不同的决策机进行训练，生成用于识别恶意程序的训练模型或训练模型集合。

11.根据权利要求10所述的装置，其中，所述分类单元还适于：

分析每个程序的程序文件并从所述程序文件中抽取预先定义的特征；

根据所抽取的特征生成特征向量，以及每个特征向量的黑白属性。

12.根据权利要求10所述的装置，其中，所述决策机包括：支持向量机的决策机或决策树的决策机。

13.根据权利要求10所述的装置，其中，所述训练模型为带编码的训练模型、或压缩的训练模型。

14.一种针对恶意程序的训练模型生成方法，其包括：

提取海量程序，所述海量程序包括恶意程序和非恶意程序；

从每个程序中提取特征并对所提取的特征进行分类；

根据所述分类的结果，将不同类别的特征使用不同的决策机进行训练，生成用于识别恶意程序的训练模型或训练模型集合。