[发明专利]可疑文件分析方法、装置和计算机可读存储介质

权利要求书

1.一种可疑文件分析方法，包括：

对可疑文件进行分析，根据所述可疑文件各信息节点间的依赖关系获得各信息节点之间的节点关系，所述分析包括动态分析、静态分析中的至少一种；

根据所述节点关系，获取与所述可疑文件存在依赖关系的信息节点作为待验证信息节点；

根据已建立好的病毒家族库检测所述待验证信息节点，获得所述待验证信息节点的病毒家族检测结果；

对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族。

2.根据权利要求1所述的方法，其特征在于，在所述根据所述节点关系，获取与所述可疑文件存在依赖关系的信息节点作为待验证信息节点的步骤之后，还包括：

根据所述节点关系的类型，确定各待验证信息节点的可信度；

对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族，包括：根据各待验证信息节点的可信度，对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族。

3.根据权利要求2所述的方法，其特征在于，根据各待验证信息节点的可信度，对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族，包括：

将可信度最高的所述待验证信息节点的病毒家族检测结果，作为所述可疑文件所属病毒家族。

4.根据权利要求2所述的方法，其特征在于，根据各信息节点的可信度，对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族，包括：当可信度最高的所述待验证信息节点的可信度大于等于预设阈值时，将所述待验证信息节点的病毒家族检测结果，作为所述可疑文件所属病毒家族。

5.根据权利要求2所述的方法，其特征在于，根据各信息节点的可信度，对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族，包括：

根据所述待验证信息节点的病毒家族检测结果，确定病毒家族检测结果中追踪到病毒家族的待验证信息节点；

从追踪到病毒家族的待验证信息节点中，将可信度最高的所述待验证信息节点的病毒家族检测结果，作为所述可疑文件所属病毒家族。

6.根据权利要求1所述的方法，其特征在于，建立所述病毒家族库的方式包括：

对已知病毒文件进行分析，根据所述已知病毒文件各信息节点间的依赖关系获得各信息节点之间的节点关系建立关系图谱；

基于所述关系图谱对已知病毒文件进行家族聚类，获得各病毒类别所对应的病毒家族；

根据聚类结果标记所述已知病毒文件所属的病毒家族，形成病毒家族库。

7.根据权利要求6所述的方法，其特征在于，所述根据已建立好的病毒家族库检测所述待验证信息节点，获得所述待验证信息节点的病毒家族检测结果的步骤，包括：

根据已建立好的病毒家族库对所述待验证信息节点进行查询，确定所述待验证信息节点的标记信息；

根据所述待验证信息节点的标记信息，确定所述待验证信息节点的病毒家族检测结果。

8.一种可疑文件分析装置，其特征在于，包括：

可疑文件分析模块，用于对可疑文件进行分析，根据所述可疑文件各信息节点间的依赖关系获得各信息节点之间的节点关系，所述分析包括动态分析、静态分析中的至少一种；

待验证信息节点获取模块，用于根据所述节点关系，获取与所述可疑文件存在依赖关系的信息节点作为待验证信息节点；

待验证信息节点检测模块，用于根据已建立好的病毒家族库检测所述待验证信息节点，获得所述待验证信息节点的病毒家族检测结果；

检测结果分析模块，用于对所述待验证信息节点的病毒家族检测结果进行分析，获得所述可疑文件所属病毒家族。

9.一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如权利要求1至7中任一项所述方法的步骤。

10.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如权利要求1至7中任一项所述方法的步骤。