[发明专利]用于文件病毒检测的特征获取方法及文件病毒检测的方法

权利要求书

1.一种用于文件病毒检测的特征获取方法，其特征在于，所述方法 包括：

在样本文件的设定位置提取多个第一子特征，所述多个第一子特征 形成第一特征向量；

根据多个第二子特征的位置信息对所述多个第一子特征进行重新组 合，得到第二特征向量；

如果在第一特征库中未查询到所述第二特征向量中所包含的子特 征，将所述第二特征向量作为所述样本文件的标识特征加入第二特征库。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如果在所述第一特征库中查询到所述第二特征向量中所包含的子特 征，重新调整所述多个第二子特征的位置信息，得到所述多个第二子特 征对应的新的位置信息；

根据所述新的位置信息对所述多个第一子特征进行重新组合，得到 第三特征向量；

如果在所述第一特征库中未查询到所述第三特征向量中所包含的子 特征，将所述第三特征向量作为所述样本文件的标识特征加入所述第二 特征库。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在离线环境下，通过杀毒引擎的历史误报样本生成所述第二特征库 中的原始特征。

4.根据权利要求3所述的方法，其特征在于，所述通过杀毒引擎的 历史误报样本生成所述第二特征库中的原始特征的步骤包括：

获取杀毒引擎的历史误报样本，以及获取所述杀毒引擎将所述历史 误报样本识别为病毒文件的离线标识特征；

获取所述离线标识特征对应的文件个数以及所述离线标识特征对应 的误报次数；

通过所述文件个数与所述误报次数获取优质标识特征；

通过所述优质标识特征更新所述第二特征库。

5.根据权利要求1-4任一所述的方法，其特征在于，所述方法还包 括：

在线环境下，根据杀毒引擎的实时误报样本生成在线标识特征；

计算所述在线标识特征对应的所有文件的误报率；

如果所述误报率大于或者等于设定阈值，则将所述在线标识特征添 加到所述第二特征库中。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

如果所述误报率小于所述设定阈值，则对所述在线标识特征设置在 活跃队列中；

对所述活跃队列中的所述在线标识特征进行批量检测。

7.一种文件病毒检测的方法，其特征在于，所述方法包括：

获取待测文件的特征信息；

确定所述待测文件的特征信息是否在第二特征库中，所述第二特征 库通过上述权利要求1所述的方法获取到；

如果所述待测文件的特征信息不在所述第二特征库中，对所述特征 信息进行启发式鉴定；

如果所述待测文件的特征信息在所述第二特征库中，确定所述待测 文件为非恶意文件。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

在离线环境下，通过杀毒引擎的历史误报样本生成所述第二特征库 中的原始特征。

9.根据权利要求8所述的方法，其特征在于，所述通过杀毒引擎的 历史误报样本生成所述第二特征库中的原始特征的步骤包括：

获取杀毒引擎在设定时间段内的历史误报样本，以及获取所述杀毒 引擎将所述历史误报样本识别为病毒文件的离线标识特征；

获取所述离线标识特征对应的文件个数以及所述离线标识特征对应 的误报次数；

通过所述文件个数与所述误报次数获取优质标识特征；

通过所述优质标识特征更新所述第二特征库。

10.根据权利要求7-9任一所述的方法，其特征在于，所述方法还 包括：

在线环境下，根据杀毒引擎的实时误报样本生成在线标识特征；

计算所述在线标识特征对应的所有文件的误报率；

如果所述误报率大于或者等于设定阈值，则将所述在线标识特征添 加到所述第二特征库中。