[发明专利]一种基于信息熵特征波形的勒索病毒检测方法及装置

权利要求书

1.一种基于信息熵特征波形的勒索病毒检测方法，其特征在于，包括：

在电脑中随机选取一定量的除预设文本类型外的其他大信息熵文件样本n；

计算n个文件样本中每个文件的信息熵，形成一个文件信息熵矩阵E；

把文件信息熵矩阵E映射到直角坐标系，并在x轴n/2处进行分割，形成两个和x轴围成的区域；

从左边区域中选择一个离散点；

从x轴n/2处向右查找与该离散点纵坐标y相同的离散点，若能够找到，则判定文件没有被勒索病毒加密，若无法找到，则继续从x轴n/2处向右查找满足一个纵坐标大于离散点纵坐标y、另一个纵坐标小于离散点纵坐标y的两个离散点，若能够找到，则判定文件没有被勒索病毒加密，若仍无法找到，则判定文件被勒索病毒加密。

2.如权利要求1所述的一种基于信息熵特征波形的勒索病毒检测方法，其特征在于，预设文本类型的大信息熵文件样本包含压缩文件、视频文件、图片文件和其他信息熵本身就很大的文件。

3.如权利要求1所述的一种基于信息熵特征波形的勒索病毒检测方法，其特征在于，将文件信息熵矩阵E映射到直角坐标系中，直角坐标系的x轴代表信息熵的大小，y轴代表此信息熵对应的文件个数。

4.如权利要求1所述的一种基于信息熵特征波形的勒索病毒检测方法，其特征在于，从左边区域中选择的一个离散点具体为：选择离最高点与最低点均值最近的离散点。

5.一种基于信息熵特征波形的勒索病毒检测装置，其特征在于，包括：取样模块、信息熵计算模块、勒索病毒检测模块；

取样模块用于在电脑中随机选取一定量的除预设文本类型外的其他大信息熵文件样本n；

信息熵计算模块用于计算n个文件样本中每个文件的信息熵，形成一个文件信息熵矩阵E；

勒索病毒检测模块用于把文件信息熵矩阵E映射到直角坐标系，并在x轴n/2处进行分割，形成两个和x轴围成的区域；从左边区域中选择一个离散点；从x轴n/2处向右查找与该离散点纵坐标y相同的离散点，若能够找到，则判定文件没有被勒索病毒加密，若无法找到，则继续从x轴n/2处向右查找满足一个纵坐标大于离散点纵坐标y、另一个纵坐标小于离散点纵坐标y的两个离散点，若能够找到，则判定文件没有被勒索病毒加密，若仍无法找到，则判定文件被勒索病毒加密。

6.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于被处理器执行如权利要求1-4任一项所述的一种基于信息熵特征波形的勒索病毒检测方法。