[发明专利]恶意文件的识别方法及装置

权利要求书

1.一种恶意文件的识别方法，其特征在于，包括：

获取目标文件的动态特征向量及静态特征向量；

将所述目标文件的动态特征向量及静态特征向量输入到预置分类器中，计算所述目标文件的文件内容恶意概率；

根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件，所述目标文件的文件来源恶意概率是根据目标文件的来源信息确定的，其中，当目标文件的来源信息匹配上预置恶意来源库中的多个类型的条目时，所述目标文件的文件来源恶意概率基于所述多个类型的内容的组合而得；

所述方法还包括：

通过恶意文本样本和添加的噪音训练所述预置分类器；

所述通过恶意文本和添加的噪音训练所述预置分类器包括：

将所述恶意文件样本和根据预置噪音知识库添加的第一噪音放入网络沙箱系统中执行，得到所述恶意文件样本的行为日志；

通过所述恶意文件样本的行为日志和根据预置噪音知识库添加的第二噪音获取所述恶意文件样本的动态特征向量；

通过所述恶意文件样本和根据预置噪音知识库添加的第三噪音获取所述恶意文件样本的静态特征向量；

根据所述恶意文件样本的静态特征向量及动态特征向量获取所述恶意文件样本的噪音特征向量；

通过未添加噪音恶意文件样本对应的特征向量和添加噪音恶意文件样本对应的噪音特征向量训练所述预置分类器。

2.根据权利要求1所述的方法，其特征在于，所述根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件之前，所述方法还包括：

获取所述目标文件的来源信息；

通过匹配所述目标文件的来源信息与预置恶意来源库中的恶意来源数据，确定所述目标文件的文件来源恶意概率。

3.根据权利要求1所述的方法，其特征在于，所述获取目标文件的动态特征向量包括：

将所述目标文件放入网络沙箱系统中执行，得到所述目标文件的行为日志；所述网络沙箱系统由一组虚拟机构成的一个虚拟交换网络构成；

从所述目标文件的行为日志中获取所述目标文件的动态特征向量。

4.根据权利要求1所述的方法，其特征在于，所述根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件包括：

将所述目标文件是恶意文件时目标文件的文件内容恶意概率、所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率代入贝叶斯公式计算所述目标文件的恶意文件概率；

根据所述目标文件的恶意文件概率确定所述目标文件是否为恶意文件。

5.一种恶意文件的识别装置，其特征在于，包括：

获取单元，用于获取目标文件的动态特征向量及静态特征向量；

计算单元，用于将所述目标文件的动态特征向量及静态特征向量输入到预置分类器中，得到所述目标文件的文件内容恶意概率；

识别单元，用于根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件，所述目标文件的文件来源恶意概率是根据目标文件的来源信息确定的，其中，当目标文件的来源信息匹配上预置恶意来源库中的多个类型的条目时，所述目标文件的文件来源恶意概率基于所述多个类型的内容的组合而得；

所述装置还包括：

训练单元，用于通过恶意文本样本和添加的噪音训练所述预置分类器；

所述训练单元包括： 获取模块，用于将所述恶意文件样本和根据预置噪音知识库添加的第一噪音放入网络沙箱系统中执行，得到所述恶意文件样本的行为日志；

所述获取模块，用于通过所述恶意文件样本的行为日志和根据预置噪音知识库添加的第二噪音获取所述恶意文件样本的动态特征向量；

所述获取模块，用于通过所述恶意文件样本和根据预置噪音知识库添加的第三噪音获取所述恶意文件样本的静态特征向量；

所述获取模块，用于根据所述恶意文件样本的静态特征向量及动态特征向量获取所述恶意文件样本的噪音特征向量；

训练模块，用于通过未添加噪音恶意文件样本对应的特征向量和添加噪音恶意文件样本对应的噪音特征向量训练所述预置分类器。