[发明专利]恶意样本的筛选方法及系统

权利要求书

1.一种恶意样本的筛选方法，其特征在于：包括：

相似度计算：对一已知恶意样本集中的恶意样本进行特征提取，计算两两恶意样本之间的相似度；

结构洞计算：根据相似度，对恶意样本进行结构洞的计算；

筛选：根据结构洞的大小以及实际的需要，选取符合要求的恶意样本；

所述结构洞计算的具体方法如下：设i、j、q均为所述的样本集中的恶意样本，

定义P_iq为i到q的相似度占i所有相似度之和的比例，即：

式中，d_iq为i与q的相似度；d_ij为i与j的相似度；

定义j到q的边际强度m_jq为：

式中，d_jq为j与q的相似度，d_jm为j与m的相似度，表示j所有相似度中的最大值；

那么，恶意样本i的结构洞Scale_i为：

2.根据权利要求1所述的恶意样本的筛选方法，其特征在于：所述的筛选包括溯源筛选：当需要对某个恶意样本溯源时，而该恶意样本本身的路径无法得知，则查询与该恶意样本的结构洞最小的恶意样本作为同源恶意样本，对该同源恶意样本溯源。

3.根据权利要求1或2所述的恶意样本的筛选方法，其特征在于：所述的筛选包括分析筛选：设置结构洞阈值，仅对结构洞大于预设的结构洞阈值的恶意样本进行分析研判。

4.根据权利要求3所述的恶意样本的筛选方法，其特征在于：所述的分析筛选还包括：当有新的恶意样本出现时，分别对每个新恶意样本进行结构洞计算；若有结构洞大于预设的结构洞阈值的新恶意样本，则仅对结构洞大于预设的结构洞阈值的新恶意样本进行分析研判。

5.一种恶意样本的筛选系统，其特征在于：包括相似度计算模块、结构洞计算模块、筛选模块，其中：

相似度计算模块，用于对一已知恶意样本集中的恶意样本进行特征提取，计算两两恶意样本之间的相似度；

结构洞计算模块，用于根据相似度，对恶意样本进行结构洞的计算；

筛选模块，用于根据结构洞的大小以及实际的需要，选取符合要求的恶意样本；

所述的结构洞计算模块用于按以下公式计算：设i、j、q均为所述的样本集中的恶意样本，

定义P_iq为i到q的相似度占i所有相似度之和的比例，即：

式中，d_iq为i与q的相似度；d_ij为i与j的相似度；

定义j到q的边际强度m_jq为：

式中，d_jq为j与q的相似度，d_jm为j与m的相似度，表示j所有相似度中的最大值；

那么，恶意样本i的结构洞Scale_i为：

6.根据权利要求5所述的恶意样本的筛选系统，其特征在于：所述的筛选模块包括溯源筛选模块，用于当需要对某个恶意样本溯源时，而该恶意样本本身的路径无法得知，则查询与该恶意样本的结构洞最小的恶意样本作为同源恶意样本，对该同源恶意样本溯源。

7.根据权利要求5或6所述的恶意样本的筛选系统，其特征在于：所述的筛选模块包括分析筛选模块，用于设置结构洞阈值，仅对结构洞大于预设的结构洞阈值的恶意样本进行分析研判。

8.根据权利要求7所述的恶意样本的筛选系统，其特征在于：所述的分析筛选模块还用于当有新的恶意样本出现时，分别对每个新恶意样本进行结构洞计算；若有结构洞大于预设的结构洞阈值的新恶意样本，则仅对结构洞大于预设的结构洞阈值的新恶意样本进行分析研判。