[发明专利]一种病毒识别方法、装置、设备及可读存储介质

权利要求书

1.一种病毒识别方法，其特征在于，包括：

利用病毒检测工具对各个无标签病毒文件进行检测，确定各个无标签病毒文件所属的病毒家族；

针对每个病毒家族，利用聚类算法对当前病毒家族包括的所有病毒文件转化得到的文件特征图进行分类，获得当前病毒家族对应的多个病毒变种；

提取各个病毒变种中的所有病毒文件共有的病毒特征，并根据所述病毒特征生成各个病毒变种对应的病毒识别规则；

利用各个病毒识别规则识别并标记待识别的病毒文件；

其中，所述文件特征图包括：字节子图、熵子图和结构子图；

字节子图的生成过程包括：将当前病毒文件转化为整型数组，并根据当前病毒文件的大小确定子图宽度；将所述整型数组包括的每个整型数映射为像素值，获得字节像素序列，并将所述字节像素序列按照所述子图宽度重构为字节子图；

熵子图的生成过程包括：按照预设的滑动窗口计算所述整型数组对应的多个熵值，将各个熵值映射为像素值，获得熵像素序列，并将所述熵像素序列按照所述子图宽度重构为熵子图；

结构子图的生成过程包括：将当前病毒文件根据文件结构划分为多段，各段用不同颜色值进行标记，获得结构像素序列，并将所述结构像素序列按照所述子图宽度重构为结构子图。

2.根据权利要求1所述的病毒识别方法，其特征在于，

将当前病毒家族包括的各个病毒文件分别转化为文件特征图；

利用所述聚类算法对各个文件特征图进行分类，获得当前病毒家族对应的多个病毒变种。

3.根据权利要求2所述的病毒识别方法，其特征在于，所述将当前病毒家族包括的各个病毒文件分别转化为文件特征图，包括：

针对当前病毒家族包括的每个病毒文件，根据当前病毒文件的字节信息、熵信息和结构信息分别生成字节子图、熵子图和结构子图；

将字节子图、熵子图和结构子图依次水平拼接为所述文件特征图。

4.根据权利要求2所述的病毒识别方法，其特征在于，所述利用所述聚类算法对各个文件特征图进行分类，包括：

确定各个文件特征图的HOG特征，利用所述聚类算法对各个HOG特征进行分类。

5.根据权利要求4所述的病毒识别方法，其特征在于，所述利用所述聚类算法对各个HOG特征进行分类，包括：

利用DBSCAN聚类算法对各个HOG特征进行分类。

6.根据权利要求1至5任一项所述的病毒识别方法，其特征在于，所述利用各个病毒识别规则识别并标记待识别的病毒文件之前，还包括：

利用验证集验证各个病毒识别规则，并根据验证结果对各个病毒识别规则进行修正。

7.一种病毒识别装置，其特征在于，包括：

检测模块，用于利用病毒检测工具对各个无标签病毒文件进行检测，确定各个无标签病毒文件所属的病毒家族；

聚类模块，用于针对每个病毒家族，利用聚类算法对当前病毒家族包括的所有病毒文件转化得到的文件特征图进行分类，获得当前病毒家族对应的多个病毒变种；

生成模块，用于提取各个病毒变种中的所有病毒文件共有的病毒特征，并根据所述病毒特征生成各个病毒变种对应的病毒识别规则；

识别模块，用于利用各个病毒识别规则识别并标记待识别的病毒文件；

其中，所述文件特征图包括：字节子图、熵子图和结构子图；

字节子图的生成过程包括：将当前病毒文件转化为整型数组，并根据当前病毒文件的大小确定子图宽度；将所述整型数组包括的每个整型数映射为像素值，获得字节像素序列，并将所述字节像素序列按照所述子图宽度重构为字节子图；

熵子图的生成过程包括：按照预设的滑动窗口计算所述整型数组对应的多个熵值，将各个熵值映射为像素值，获得熵像素序列，并将所述熵像素序列按照所述子图宽度重构为熵子图；

结构子图的生成过程包括：将当前病毒文件根据文件结构划分为多段，各段用不同颜色值进行标记，获得结构像素序列，并将所述结构像素序列按照所述子图宽度重构为结构子图。