[发明专利]计算机病毒分类方法、系统、设备及计算机可读存储介质

说明书

技术领域

本发明涉及计算机安全领域，特别涉及一种计算机病毒分类方法、系统、设备及计算机可读存储介质。

背景技术

随着计算机在生活中的普及，各种形式的计算机病毒威胁着计算机的安全。

现有技术中通常根据计算机病毒的可执行文件特征对计算机病毒进行家族分类。例如，将在高级语言所编写的程序编译前插入到原程序中，经编译成为合法程序的一部分的病毒类型分类为源代码病毒；将自身包围在可执行文件周围，在运行可执行文件时一同执行的病毒类型分类为外壳型病毒。但病毒往往会经过加壳等免杀手段的处理，使得对计算机病毒种类划分变得困难。

因此，如何能准确的进行计算机病毒分类是本领域人员亟待解决的技术问题。

发明内容

有鉴于此，本发明的目的在于提供一种计算机病毒分类方法、系统、设备及计算机可读存储介质。该方法具有分类准确的特点，该系统同样具有分类准确的特点。其具体方案如下：

第一方面，本申请提供一种计算机病毒分类方法，包括：

采集计算机病毒样本的流量；

提取所述计算机病毒样本的流量特征；

根据所述计算机病毒样本的流量特征之间的关联度对所述计算机病毒样本进行分类。

优选的，所述采集计算机病毒样本的流量的步骤包括：

采集预先执行于沙盒环境中的计算机病毒样本的流量的pcap包。

优选的，所述提取所述计算机病毒样本的流量特征的步骤包括：

利用所述pcap包提取所述计算机病毒样本的流量特征。

优选的，所述利用所述pcap包提取所述计算机病毒样本的流量特征的步骤，包括：

从所述pcap包中提取所述计算机病毒样本的协议行为和/或地址特征。

优选的，所述提取所述计算机病毒样本的流量特征的步骤后，还包括：

根据预设的白名单过滤所述计算机病毒样本的流量特征。

优选的，所根据所述计算机病毒样本的流量特征之间的关联度对所述计算机病毒样本进行分类的步骤包括：

统计不同的流量特征在相同病毒样本中出现的频数；

利用所述频数，确定所述计算机病毒样本的流量特征之间的关联度，得到特征间关联度；

利用所述特征间关联度，确定出病毒间关联度，然后利用所述病毒间关联度对所述计算机病毒样本进行分类。

优选的，所述利用所述频数，确定所述计算机病毒样本的流量特征之间的关联度，得到特征间关联度的步骤包括：

对所述频数以及相应的流量特征进行图关联分析，得到相应的关联图；

基于所述关联图，确定所述计算机病毒样本的流量特征之间的关联度，得到特征间关联度。

优选的，所述对所述频数以及相应的流量特征进行图关联分析，得到相应的关联图的步骤，包括：

利用Gephi分析软件，对所述频数以及相应的流量特征进行图关联分析，得到相应的关联图。

优选的，所述利用所述频数，确定所述计算机病毒样本的流量特征之间的关联度，得到特征间关联度的步骤包括：

利用所述频数以及预设的相关系数计算公式，计算出所述计算机病毒样本的流量特征之间的关联度，得到特征间关联度。

优选的，还包括：

对相同类型的病毒样本所对应域名信息进行数据挖掘，得到目标域名信息；其中，所述目标域名信息包括域名和域名的注册信息；

利用所述目标域名信息，挖掘相应的域名、病毒样本和黑客之间的关联信息；

利用所述关联信息，并结合针对相应病毒样本的行为分析结果，推测出相应黑客信息。

第二方面，本申请还提供一种计算机病毒分类系统，包括：

流量采集模块，用于采集计算机病毒样本的流量；

流量特征提取模块，用于提取流量采集模块采集的计算机病毒样本流量的流量特征；

计算机病毒分类模块，用于根据所述计算机病毒样本的流量特征之间的关联度对所述计算机病毒样本进行分类。

第三方面，本申请还提供一种计算机病毒分类设备，包括：

存储有计算机病毒分类程序的存储器及用于运行所述计算机病毒分类程序的处理器。所述计算机病毒分类程序配置为实现上述计算机病毒分类方法的步骤。

第四方面，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机病毒分类程序。所述计算机病毒分类程序配置为实现上述计算机病毒分类方法的步骤。