[发明专利]一种灰样本鉴定方法与系统

权利要求书

1.一种灰样本鉴定方法，其特征在于，包括以下步骤：

S01、运行按家族选取的特征黑样本、随机选取的白样本、和全部灰样本，获取样本的特征功能，将每个样本中的每个特征功能运行时间除以该样本一次运行的总时间，得到该特征功能运行时间百分比；

S02、按照特征功能反应样本为黑样本的概率从高到低的顺序，对特征功能进行排序；

S03、按照步骤S02的排序，以步骤S01得到的特征功能运行时间百分比为坐标值，将每相邻两个特征功能建立二维坐标系，将步骤S01所述的黑样本、白样本和灰样本绘制在所述的二维坐标系中；

S04、判断灰样本坐标到黑样本坐标以及白样本坐标的距离，如果：距离黑样本坐标近，认为灰样本在该坐标系下更接近黑样本，设定值为1；

距离白样本坐标近，认为灰样本在该坐标系下更接近白样本，设定值为0；

距离黑样本坐标和白样本坐标一样近，认为灰样本在该坐标系下仍为灰样本，设定值为0.5；

S05、按照步骤S03中坐标系的先后顺序得到由高到低排列的权重，将所有坐标系下的值与权重相乘后累计求和；

S06、判断灰样本的属性，当步骤S05得到的结果大于等于阈值后，认为该灰样本为黑样本，小于阈值后，认为该灰样本为白样本。

2.根据权利要求1所述的灰样本鉴定方法，其特征在于，步骤S01所述的特征功能包括修改关键文件、修改注册表、下载文件、文件自删除。

3.根据权利要求1或2所述的灰样本鉴定方法，其特征在于，所述的步骤S04、步骤S05和步骤S06替换为：

S07、利用灰样本坐标到黑样本坐标的距离除以到白样本坐标的距离，得到该坐标系下的值；

S08、按照步骤S03中坐标系的先后顺序得到由高到低排列的权重，将所有坐标系下的值与权重相乘后累计求和；

S09、判断灰样本的属性，当步骤S08得到的结果大于等于阈值后，认为该灰样本为黑样本，小于阈值后，认为该灰样本为白样本。

4.一种灰样本鉴定系统，其特征在于，包括：

特征功能运行时间计算模块：运行按家族选取的特征黑样本、随机选取的白样本、和全部灰样本，获取样本的特征功能，将每个样本中的每个特征功能运行时间除以该样本一次运行的总时间，得到该特征功能运行时间的百分比；

特征功能排序模块：按照特征功能反应样本为黑样本的概率从高到低的顺序，对特征功能进行排序；

特征功能坐标系建立模块：按照特征功能排序模块得到的排序，以特征功能运行时间计算模块得到的特征功能运行时间百分比为坐标值，将每相邻两个特征功能建立二维坐标系，将特征功能运行时间计算模块中所述的黑样本、白样本和灰样本绘制在所述的二维坐标系中；

坐标系赋值模块：

判断灰样本坐标到黑样本坐标以及白样本坐标的距离，如果：距离黑样本坐标近，认为灰样本在该坐标系下更接近黑样本，设定值为1；

距离白样本坐标近，认为灰样本在该坐标系下更接近白样本，设定值为0；

距离黑样本坐标和白样本坐标一样近，认为灰样本在该坐标系下仍为灰样本，设定值为0.5；

或：

利用灰样本坐标到黑样本坐标的距离除以到白样本坐标的距离，得到该坐标系下的值；

灰样本求值模块：按照特征功能坐标系建立模块中坐标系的先后顺序得到由高到低排列的权重，将所有坐标系下的值与权重相乘后累计求和；

灰样本属性判断模块：判断灰样本的属性，当灰样本求值模块得到的结果大于等于阈值后，认为该灰样本为黑样本，小于阈值后，认为该灰样本为白样本。