[发明专利]病毒样本的聚类方法、装置、电子设备和存储介质

说明书

公开了一种病毒样本的聚类方法、装置、电子设备以及存储介质，以对进行攻击的病毒进行聚类以针对其进行处理，提高安全性。该聚类方法包括：获取待聚类处理的病毒样本的行为特征；基于预设的参考行为特征集，生成用于病毒样本的行为特征的行为标识组，其中，预设的参考行为特征集中的每个参考行为特征具有唯一的行为标识；基于病毒样本的行为标识组，生成用于指示病毒样本所属的病毒家族的组特征值；基于病毒样本的组特征值，生成用于指示病毒样本所属的病毒族群的族群特征值，其中，每个病毒族群包括至少一个病毒家族；以及基于病毒样本的组特征值和族群特征值，对病毒样本进行聚类。

技术领域

本公开涉及计算机技术领域，更具体地，涉及病毒样本的聚类方法、装置、电子设备和存储介质。

背景技术

随着互联网时代的兴起，计算机病毒的种类和数量呈爆发性增长。安全厂商每天收到成千上万的病毒样本，为了尽快处理这些病毒样本带来的安全威胁，安全厂商需要快速而准确地从这些病毒样本中提取共性并家族化，从而以病毒家族为单位提供解决方案。现有方案之一是基于关系数据的病毒家族聚类方法，该方法通过节点之间的关联发现同类病毒样本，即属于同一病毒家族的病毒样本，例如如果不同的病毒样本访问共同的IP或域名，则认为这些不同的病毒样本属于同一个病毒家族。然而，这种情况很容易产生干扰数据，例如浏览器访问某个病毒的域名，则会将浏览器程序划分为某个病毒家族，导致聚类结果不准确或不稳定。

因此，需要一种方案简便、计算量小、稳定性高的病毒样本的聚类方法。

发明内容

本公开的实施例提供了一种病毒样本的聚类方法，包括：获取待聚类处理的病毒样本的至少一个行为特征；基于预设的参考行为特征集，生成用于所述病毒样本的至少一个行为特征的行为标识组，其中，所述预设的参考行为特征集中的每个参考行为特征具有唯一的行为标识；基于所述病毒样本的行为标识组，生成所述病毒样本的组特征值，所述组特征值用于指示所述病毒样本所属的病毒家族；基于所述病毒样本的所述组特征值，生成所述病毒样本的族群特征值，所述族群特征值用于指示所述病毒样本所属的病毒族群，其中，每个病毒族群包括至少一个病毒家族；以及基于所述病毒样本的组特征值和族群特征值，对所述病毒样本进行聚类，以确定所述病毒样本所属的病毒族群和病毒家族。

根据本公开的实施例，其中，基于所述病毒样本的组特征值和族群特征值，对所述病毒样本进行聚类，包括：基于所述病毒样本的族群特征值，确定所述病毒样本的目标族群；以及基于所述目标族群和所述病毒样本的组特征值，确定所述病毒样本的目标家族。

根据本公开的实施例，其中，基于所述病毒样本的族群特征值，确定所述病毒样本的目标族群，包括：获取至少一个候选族群的族群特征值；将所述病毒样本的族群特征值与所述至少一个候选族群的族群特征值进行比较；在存在具有与所述病毒样本的族群特征值相同的族群特征值的候选族群情况下，将所述候选族群确定为所述病毒样本的目标族群；以及在不存在具有与所述病毒样本的族群特征值相同的族群特征值的候选族群情况下，创建新的病毒族群，并将所述新的病毒族群确定为所述病毒样本的目标族群。

根据本公开的实施例，其中，基于所述目标族群和所述病毒样本的组特征值，确定所述病毒样本的目标家族，包括：在所述目标族群为候选族群的情况下，获取所述候选族群所包括的至少一个候选家族的家族特征值；将所述病毒样本的组特征值与所述至少一个候选家族的家族特征值进行匹配；在存在具有与所述病毒样本的组特征值相匹配的家族特征值的候选家族情况下，将所述候选家族确定为所述病毒样本的目标家族；在不存在具有与所述病毒样本的组特征值相匹配的家族特征值的候选家族情况下，创建新的病毒家族，并将所述新的病毒家族确定为所述病毒样本的目标家族；以及在所述目标族群为新的病毒族群的情况下，在所述新的病毒族群中创建新的病毒家族，并将所述新的病毒家族确定为所述病毒样本的目标家族。