[发明专利]恶意软件传播特征的提取方法、装置和应用

说明书

本申请提出一种恶意软件传播特征的提取方法，属于网络安全技术领域，该方法包括：获取恶意软件在终端上的网络流量；将所述网络流量解析成多个会话日志，其中所述会话日志包括多个特征指标；将所述会话日志按日志类型分为一个或多个日志组，并将所述日志组中所述会话日志按照所述特征指标聚类得到一个或多个特征类；每一所述特征类提取对应的代表特征，根据所述日志组的所述代表特征生成恶意软件特征向量，其中所述日志组包括一个或多个代表特征。该方法通过解析恶意软件产生的网络流量得到其中包含的会话日志，根据会话日志包含的特征指标进行聚类以提取恶意软件特征向量来衡量运行中的恶意软件的传播行为；并且可以根据提取到的恶意软件特征向量构建恶意软件特征库，以用于恶意软件检测。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种恶意软件传播特征的提取方法、装置和应用。

背景技术

随着网络的日益普及，利用恶意软件侵入用户的终端，执行各种恶意行为也日渐猖獗，导致了一系列用户隐私泄露、经济损失等安全问题。因此，为了保障网络安全，及时发现并清理恶意软件变得尤为重要。

传统的恶意软件检测装置需要在终端上运行，检测装置通常会预置海量的恶意软件特征库，其中包括恶意软件的静态特征和动态特征，当检测装置发现终端中有符合恶意软件特征库中特征的可疑软件时则认定该软件是恶意软件。后来为了减少终端的性能压力，很多检查装置将检测功能放到了服务器上，但尽管如此依然需要在终端上安装采集软件，占用终端性能。

不在终端上安装任何检测软件而实现恶意软件检测的技术也在持续研究中。一种常用的做法是聚类，即统计大量终端缠上的网络通信数据，通过常用的聚类算法比如k-means将所有产生通信数据的终端进行分类，对于包含终端数量较少的类则认为是该类中包含的终端可能运行了恶意软件，但这种做法的缺陷在于检测结果的准确性很低，且结果只能作为参考，无法准确识别恶意软件的具体类型和名称。

发明内容

第一方面，本申请实施例提供了一种恶意软件传播特征的提取方法，该方法通过解析恶意软件产生的网络流量得到其中包含的会话日志，根据会话日志包含的特征指标进行聚类以提取恶意软件特征向量来衡量运行中的恶意软件的传播行为。

具体的，该方法包括：

获取恶意软件在终端上的网络流量；

将所述网络流量解析成多个会话日志，其中所述会话日志包括多个特征指标；

将所述会话日志按日志类型分为一个或多个日志组，并将所述日志组中所述会话日志按照所述特征指标聚类得到一个或多个特征类；

每一所述特征类提取对应的代表特征，根据所述日志组的所述代表特征生成恶意软件特征向量，其中所述日志组包括一个或多个代表特征。

在一些申请实施例中，在“根据所述日志组的所述代表特征生成恶意软件特征向量”中，包括：将每所述日志组中的所述代表特征合并得到对应每种日志类型的代表特征集合，然后将所有所述代表特征集合按照规定顺序组成所述恶意软件特征向量，其中每所述日志组都包含一个或多个所述代表特征。

在一些申请实施例中，所述终端包括一个或多个终端；根据每一所述特征类包含的会话日志数量和每一所述特征类涵盖的终端数量，提取出一个或多个高价值特征类；根据所述高价值特征类中的所述特征指标生成对应所述恶意软件特征向量。

在一些申请实施例中，采集恶意软件的具体方式是：将所述恶意软件安装在一个或多个虚拟终端上，其中所述虚拟终端接入同一虚拟化网络；在所述虚拟化网络中设置网络镜像服务，采集所述恶意软件的网络流量。

特别的是，本申请实施例为了丰富恶意软件传播行为的特征，不只针对会话日志本身提取单一特征，在一些申请实施例中，还在所述恶意软件特征向量中加入了与所述会话日志相关联的时间维度统计特征。