[发明专利]一种基于熵信息分布的恶意文档检测方法

摘要

本发明公开了一种恶意文档检测方法，包括以下步骤：(1)对文档进行预处理，然后以256字节的滑动窗口处理字节流并计算熵值，得到熵序列；(2)进行全局以及结构化熵特征提取。全局特征中，提取6种统计特征信息。结构化熵特征中，提取了序列的细节和局部特征。细节特征中，利用离散小波分解，计算序列的能量谱作为特征；局部特征中，将熵序列拆分成小块后计算小波分解近似系数，利用K‑means算法进行聚类得到编码字典并对样本进行编码后得到局部特征。(3)将三种特征进行组合并进行归一化。(4)将样本特征与标签输入到分类算法中进行训练后得到分类器并用于恶意文档的检测。该方法可以用于恶意文档的高效检测，其准确率更高，检测速度也更快。

主权项

1.一种基于熵信息分布的恶意文档检测方法，其特征在于：包括以下步骤：步骤一：对文档进行预处理，并计算文档的熵序列值。步骤二：在文档的熵序列基础上，提取文档的全局特征和上结构化熵特征。步骤三：将三种提取的特征进行组合，并按照最大值最小值的方式进行归一化后得到样本的特征表示。步骤:四：将归一化处理后的特征送入到机器学习模型进行训练，并对模型相关参数进行优化后得到检测模型。步骤五：利用训练好的模型对新的文档进行检测。