[发明专利]恶意文件的识别方法及装置

说明书

本发明公开了一种恶意文件的识别方法及装置，涉及计算机安全技术领域，用于提高恶意文件的识别精度，本发明的主要技术方案为：获取目标文件的动态特征向量及静态特征向量；将所述目标文件的动态特征向量及静态特征向量输入到预置分类器中，计算所述目标文件的文件内容恶意概率；根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件，所述目标文件的文件来源恶意概率是根据目标文件的来源信息确定的。本发明主要用于识别恶意文件。

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种恶意文件的识别方法及装置。

背景技术

随着计算机与互联网技术的不断发展，恶意文件也成爆发式增长，其攻击手段与伪装手段也不断的朝着多样化和复杂化的方式发展。加之计算机犯罪的地下产业链条不断完善，产业化与规模化的程度日益提升，这使得对抗恶意文档成为当今一个非常具有挑战的课题。

目前，主要通过静态监测技术或动态监测技术识别恶意代码，静态监测技术对目标文件的预处理之后进行签名匹配，即匹配病毒库；动态监测技术主要是根据目标文件的一些行为特征，例如修改特定注册表、开放特定端口等信息进行识别。

但是，静态监测技术对恶意文件的变种，新恶意文件缺乏检测能力，动态监测技术对于不具备明显行为特征和新的恶意软件缺乏识别能力。而目前局限于单一的静态监测技术或者动态监测技术，这使得恶意文件比较容易采用一些通用的逃逸技术隐藏自己，因此恶意文件的识别精度较低。

发明内容

有鉴于此，本发明提供一种恶意文件的识别方法及装置，主要目的在于提高恶意文件的识别精度。

依据本发明一个方面，提供了一种恶意文件的识别方法，包括：

获取目标文件的动态特征向量及静态特征向量；

将所述目标文件的动态特征向量及静态特征向量输入到预置分类器中，计算所述目标文件的文件内容恶意概率；

根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率识别所述目标文件是否为恶意文件，所述目标文件的文件来源恶意概率是根据目标文件的来源信息确定的。

进一步地，所述根据所述目标文件的文件内容恶意概率和所述目标文件的文件来源恶意概率确定所述目标文件是否为恶意文件之前，所述方法还包括：

获取所述目标文件的来源信息；

通过匹配所述目标文件的来源信息与预置恶意来源库中的恶意来源数据，确定所述目标文件的文件来源恶意概率。

具体的，所述获取目标文件的动态特征包括：

将所述目标文件放入网络沙箱系统中执行，得到所述目标文件的行为日志；所述网络沙箱系统由一组虚拟机构成的一个虚拟交换网络构成；

从所述行为日志中获取所述目标文件的动态特征向量。

进一步地，所述方法还包括：

通过恶意文本样本和添加的噪音训练所述预置分类器。

具体的，所述通过恶意文本和添加的噪音训练所述预置分类器包括：

将所述恶意文件样本和根据预置噪音知识库添加的第一噪音放入网络沙箱系统中执行，得到所述恶意文件样本的行为日志；

通过所述恶意文件样本的行为日志和根据预置噪音知识库添加的第二噪音获取所述恶意文件样本的动态特征向量；

通过所述恶意文件样本和根据预置噪音知识库添加的第三噪音获取所述恶意文件样本的静态特征向量；

根据所述恶意文件样本的静态特征向量及动态特征向量获取所述恶意文件样本的噪音特征向量；