[发明专利]一种获取病毒特征码的方法及装置

权利要求书

1.一种获取病毒特征码的方法，其特征在于，所述方法包括：

获取病毒样本集合中的每个病毒样本包括的字符串；

根据每个字符串在非病毒样本集合中出现的第一频率和在所述病毒样本集合中出现的第二频率，选择字符串作为候选病毒特征码；

根据包括所述候选病毒特征码的病毒样本数目和包括所述候选病毒特征码的非病毒样本数目，计算所述候选病毒特征码的信息熵；

根据信息熵从所述候选病毒特征码中选择病毒特征码；

其中，所述根据包括所述候选病毒特征码的病毒样本数目和包括所述候选病毒特征码的非病毒样本数目，计算所述候选病毒特征码的信息熵，包括：

根据包括所述候选病毒特征码的病毒样本数目，计算出不包括所述候选病毒特征码的病毒样本数目；

根据包括所述候选病毒特征码的非病毒样本数目，计算出不包括所述候选病毒特征码的非病毒样本数目；

根据包括所述候选病毒特征码的病毒样本数目、不包括所述候选病毒特征码的病毒样本数目、包括所述候选病毒特征码的非病毒样本数目和不包括所述候选病毒特征码的非病毒样本数目，计算所述候选病毒特征码的信息熵。

2.如权利要求1所述的方法，其特征在于，所述根据每个字符串在非病毒样本集合中出现的第一频率和在所述病毒样本集合中出现的第二频率，选择字符串作为候选病毒特征码，包括：

选择第一频率未超过预设第一频率阈值且第二频率超过预设第二频率阈值字符串；

将所述选择的字符串确定为候选病毒特征码。

3.如权利要求1或2所述的方法，其特征在于，所述选择字符串作为候选病毒特征码之前，还包括：

获取包括每个字符串的非病毒样本数目，根据包括所述每个字符串的非病毒样本数目分别计算出所述每个字符串在非病毒样本集合中出现的第一频率。

4.如权利要求1或2所述的方法，其特征在于，所述选择字符串作为候选病毒特征码之前，还包括：

获取包括每个字符串的病毒样本数目，根据包括所述每个字符串的病毒样本数目分别计算出所述每个字符串在病毒样本集合中出现的第二频率。

5.如权利要求1所述的方法，其特征在于，所述计算所述候选病毒特征码的信息熵，包括：

根据包括所述候选病毒特征码的病毒样本数目、不包括所述候选病毒特征码的病毒样本数目、包括所述候选病毒特征码的非病毒样本数目和不包括所述候选病毒特征码的非病毒样本数目，按如下的公式(1)计算所述候选病毒特征码的信息熵；

其中，在公式(1)中，H为所述候选病毒特征码的信息熵，S为病毒样本集合中的病毒样本数目与非病毒样本集合中的非病毒样本数目之和，S₁为病毒样本集合中的病毒样本数目，S₁₁为包括所述候选病毒特征码的病毒样本数目，S₁₂为不包括所述候选病毒特征码的病毒样本数目；

S₂为非病毒样本集合中的非病毒样本数目，S₂₁为包括所述候选病毒特征码的非病毒样本数目，S₂₂为不包括所述候选病毒特征码的非病毒样本数目。

6.如权利要求1所述的方法，其特征在于，所述根据信息熵从所述候选病毒特征码中选择病毒特征码，包括：

选择信息熵未超过预设信息熵阈值的候选病毒特征码，将所述选择的候选病毒特征码确定为病毒特征码；或者，

选择信息熵最小的预设个数个候选病毒特征码，将所述选择的候选病毒特征码确定为病毒特征码。