[发明专利]恶意软件家族聚类及识别方法及系统

权利要求书

1.恶意软件家族聚类及识别方法，其特征是，包括：

对良性的HTTP网络流量、恶意家族的HTTP网络流量分别采集并进行统一资源定位符URL提取；

将统一资源定位符URL的各个部分信息进行标记，并分别存入相应的词库并对得到的词库进行向量化处理；

通过前向神经网络映射将输入的量化数据映射到另外一个数据空间，进行聚类，得到每个簇，计算正常样本和每个恶意家族样本数量的比例，确定正常样本和每个恶意家族的权值，计算每个簇的家族类别评分，确定每个簇所属家族类别。

2.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，良性的HTTP网络流量及恶意家族流量获取方式相同，均为：通过T-shark命令将apk的PCAP文件中的HTTP流量分离出来成一个单独的PCAP文件；

将PCAP文件中每一条HTTP网络流通过T-shark命令提取出URL内容写入对应的文本文档中。

3.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，URL的第一部分的请求方法标记为m，hostname作为第二部分，标记为h，path作为第三部分，标记为p，变量名作为第四部分，标记为n，变量值作为第四部分，标记为v。

4.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，将所有的URL的请求方法m部分存入词库1、将所有的URL的Host存入词库2、将所有的URL的路径P、变量名n、变量值v使用自动特征提取算法得到的特征词存入词库3。

5.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，对得到的词库进行向量化处理，对每个输入的URL的m、URL的h及URL的p、n、v进行one-hot编码，将编码后的向量化数值组合。

6.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，对得到的词库进行向量化处理，对每个输入的URL的m、URL的h及URL的p、n、v进行one-hot编码：

根据词库的大小，设置向量大小为各自词库的大小；

将URL的m、URL的h及URL的p、n、v分别在各自对应的词库中搜索，记录位置，将向量的该位置设置为1，其他设置为0；

每个URL的m、URL的h及URL的p、n、v都是一个只有一位是1，其他位是0的向量。

7.如权利要求1所述的恶意软件家族聚类及识别方法，其特征是，通过前向神经网络映射将输入的量化数据映射到另外一个数据空间：提取N维特征当成输入到前置神经网络，训练神经网络，输出映射到M维空间，将不同的数据样本进行分割开。

8.恶意软件家族聚类及识别系统，包括：

URL提取模块，对良性的HTTP网络流量、恶意家族的HTTP网络流量分别采集并进行统一资源定位符URL提取；

向量化处理模块，将统一资源定位符URL的各个部分信息进行标记，并分别存入相应的词库并对得到的词库进行向量化处理；

簇的聚类及识别模块，通过前向神经网络映射将输入的量化数据映射到另外一个数据空间，进行聚类，得到每个簇，计算正常样本和每个恶意家族样本数量的比例，确定正常样本和每个恶意家族的权值，计算每个簇的家族类别评分，确定每个簇所属家族类别。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现以下步骤：

对良性的HTTP网络流量、恶意家族的HTTP网络流量分别采集并进行统一资源定位符URL提取；

将统一资源定位符URL的各个部分信息进行标记，并分别存入相应的词库并对得到的词库进行向量化处理；

通过前向神经网络映射将输入的量化数据映射到另外一个数据空间，进行聚类，得到每个簇，计算正常样本和每个恶意家族样本数量的比例，确定正常样本和每个恶意家族的权值，计算每个簇的家族类别评分，确定每个簇所属家族类别。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现以下步骤：

对良性的HTTP网络流量、恶意家族的HTTP网络流量分别采集并进行统一资源定位符URL提取；

将统一资源定位符URL的各个部分信息进行标记，并分别存入相应的词库并对得到的词库进行向量化处理；

通过前向神经网络映射将输入的量化数据映射到另外一个数据空间，进行聚类，得到每个簇，计算正常样本和每个恶意家族样本数量的比例，确定正常样本和每个恶意家族的权值，计算每个簇的家族类别评分，确定每个簇所属家族类别。