[发明专利]一种黑特征库中失效特征的确定方法及系统

权利要求书

1.一种黑特征库中失效特征的确定方法，其特征在于，包括：

获得黑特征库中的第一特征；

判断样本文件是否具有所述第一特征，如果是，则判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则确定所述第一特征为失效特征；其中，所述样本文件为恶意文件；

所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件与所述第一特征的特征源文件的代码相似度；

判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律；

或

获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律；

或

获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律。

2.根据权利要求1所述的方法，其特征在于，还包括：

在确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

3.根据权利要求2所述的方法，其特征在于，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，在将所述第一特征从所述黑特征库中删除后，所述方法还包括：

按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

4.一种黑特征库中失效特征的确定系统，其特征在于，包括：特征获得单元、文件判断单元、变形判断单元和失效确定单元，

所述特征获得单元，用于获得黑特征库中的第一特征；

所述文件判断单元，用于判断样本文件是否具有所述第一特征，如果是，则触发所述变形判断单元；其中，所述样本文件为恶意文件；

所述变形判断单元，用于判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则触发所述失效确定单元；

所述失效确定单元，用于确定所述第一特征为失效特征；

所述变形判断单元，包括：

代码相似度获得子单元和第一相似度判断子单元，

所述代码相似度获得子单元，用于获得所述样本文件与所述第一特征的特征源文件的代码相似度；

所述第一相似度判断子单元，用于判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元；

或

节表相似度获得子单元和第二相似度判断子单元，

所述节表相似度获得子单元，用于获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

所述第二相似度判断子单元，用于判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元；

或

PE节相似度获得子单元和第三相似度判断子单元，

所述PE节相似度获得子单元，用于获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

所述第三相似度判断子单元，用于判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律，触发所述失效确定单元。

5.根据权利要求4所述的系统，其特征在于，还包括：特征删除单元，用于在所述失效确定单元确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

6.根据权利要求5所述的系统，其特征在于，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，所述系统还包括：特征提取单元，用于在所述特征删除单元将所述第一特征从所述黑特征库中删除后，按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。