[发明专利]病毒检测方法及装置

权利要求书

1.一种病毒检测方法，其特征在于，包括：

获取待检测文件的行为日志，所述行为日志表征所述待检测文件在运行环境中运行时被触发执行的行为；

从所述待检测文件的行为日志中获取行为向量；

根据所述待检测文件的行为向量提取得到用于描述所述待检测文件相邻行为的局部特征向量；其中，所述相邻行为是所述待检测文件在所述运行环境中运行时，相邻时刻被触发执行的行为；

根据所述待检测文件的局部特征向量构建用于描述所述待检测文件整体行为的全局特征向量；其中，所述整体行为是所述待检测文件在所述运行环境中运行时，被触发执行的所有行为；

根据所述待检测文件的全局特征向量进行病毒预测，得到所述待检测文件的病毒标签。

2.如权利要求1所述的方法，其特征在于，所述运行环境由计算机模拟器提供，所述获取待检测文件的行为日志之前，所述方法还包括：

在启动的计算机模拟器中输入所述待检测文件，通过所述待检测文件的输入进行所述待检测文件的模拟运行；

在所述待检测文件被模拟运行过程中，根据所述待检测文件被模拟触发执行的行为生成所述待检测文件的行为日志，并存储至系统日志；

所述获取待检测文件的行为日志，包括：

从所述系统日志中提取得到所述待检测文件的行为日志。

3.如权利要求1所述的方法，其特征在于，所述从所述待检测文件的行为日志中获取行为向量，包括：

对所述行为日志中用于表示所述行为的行为标识进行转化，得到所述待检测文件的行为向量。

4.如权利要求3所述的方法，其特征在于，所述对所述行为日志中用于表示所述行为的行为标识进行转化，得到所述待检测文件的行为向量，包括：

根据所述行为日志中的行为触发时间进行行为标识排序；

将排序后的行为标识顺序拼接为所述待检测文件的行为向量。

5.如权利要求1所述的方法，其特征在于，所述从所述待检测文件的行为日志中获取行为向量之后，所述方法还包括：

对所述待检测文件的行为向量进行向量化处理，使得所述待检测文件的局部特征提取是根据向量化处理后的行为向量进行的。

6.如权利要求1至5任一项所述的方法，其特征在于，所述方法还包括：

获取训练样本的行为向量和病毒标签，所述病毒标签用于指示所述训练样本是否为病毒；

将所述训练样本的行为向量和病毒标签输入第一级神经网络，得到所述训练样本的局部特征向量；

根据所述训练样本的局部特征向量引导第二级神经网络进行训练，学习得到所述训练样本的全局特征向量；

将所述训练样本的全局特征向量输入分类器，得到病毒检测模型，以调用所述病毒检测模型对所述待检测文件进行病毒检测。

7.如权利要求6所述的方法，其特征在于，所述获取训练样本的行为向量和病毒标签，包括：

获取配置有样本标签的所述训练样本；

在计算机模拟器中运行所述训练样本，得到所述训练样本的行为日志；

将所述训练样本的行为日志中行为标识转化为所述训练样本的行为向量。

8.一种病毒检测装置，其特征在于，包括：

行为日志获取模块，用于获取待检测文件的行为日志，所述行为日志表征所述待检测文件在运行环境中运行时被触发执行的行为；

行为向量获取模块，用于从所述待检测文件的行为日志中获取行为向量；

局部向量获取模块，用于根据所述待检测文件的行为向量提取得到用于描述所述待检测文件相邻行为的局部特征向量；其中，所述相邻行为是所述待检测文件在所述运行环境中运行时，相邻时刻被触发执行的行为；

全局向量获取模块，用于根据所述待检测文件的局部特征向量构建用于描述所述待检测文件整体行为的全局特征向量；其中，所述整体行为是所述待检测文件在所述运行环境中运行时，被触发执行的所有行为；

病毒预测模块，用于根据所述待检测文件的全局特征向量进行病毒预测，得到所述待检测文件的病毒标签。