[发明专利]异常文件识别方法及装置

权利要求书

1.一种异常文件识别方法，其特征在于，所述方法包括：

对于多个样本异常文件中每个样本异常文件，将所述样本异常文件中包括的多个类型划分为多组，每组包括与同一数据层对应的至少一个类型；

对所述样本异常文件中的数据进行分类，得到与所述多组分别匹配的多个数据层，使得同一数据层中包括对应的至少一个类型的数据，不同数据层的数据的类型不同；

获取所述多个数据层的特征，组成所述样本异常文件的特征集合；

根据所述多个样本异常文件确定公共数据串，所述公共数据串为至少两个样本异常文件的指定数据层均包括的数据串，所述指定数据层为数据串数量满足条件的数据层，所述数据串为连续的一串数据；

获取待识别的目标文件；

根据所述目标文件的多个数据层的特征，获取所述目标文件的特征集合；

当所述特征集合中的每个特征与任一样本异常文件的相同数据层的特征均匹配时，确定所述特征集合与所述任一样本异常文件的特征集合匹配；

当所述特征集合与所述任一样本异常文件的特征集合匹配，且所述目标文件与所述任一样本异常文件的指定数据层均包括所述公共数据串时，确定所述目标文件为异常文件。

2.根据权利要求1所述的方法，其特征在于，所述根据所述多个样本异常文件确定公共数据串，包括：

获取所述多个样本异常文件的指定数据层中的数据串，得到多个数据串；

确定所述多个数据串中每个数据串的覆盖率，数据串的覆盖率为所述指定数据层包括所述数据串的样本异常文件的数量；

根据所述每个数据串的覆盖率，从所述多个数据串中选取所述公共数据串。

3.根据权利要求2所述的方法，其特征在于，所述根据所述每个数据串的覆盖率，从所述多个数据串中选取所述公共数据串，包括：

从所述多个数据串中，选取所述多个样本异常文件的指定数据层均包括的数据串，作为所述公共数据串。

4.根据权利要求2所述的方法，其特征在于，所述根据所述每个数据串的覆盖率，从所述多个数据串中选取所述公共数据串，包括：

当所述多个数据串不包括所述多个样本异常文件的指定数据层均包括的数据串时，从所述多个数据串中选取覆盖率最大的第一数据串；

确定所述指定数据层不包括所述第一数据串的多个样本异常文件，确定所述多个样本异常文件的指定数据层均包括的第二数据串；

将所述第一数据串和所述第二数据串均作为所述公共数据串。

5.一种异常文件识别装置，其特征在于，所述装置包括：

类型划分模块，用于对于多个样本异常文件中每个样本异常文件，将所述样本异常文件中包括的多个类型划分为多组，每组包括与同一数据层对应的至少一个类型；

数据层划分模块，用于对所述样本异常文件中的数据进行分类，得到与所述多组分别匹配的多个数据层，使得同一数据层中包括对应的至少一个类型的数据，不同数据层的数据的类型不同；

特征集合获取模块，用于获取所述多个数据层的特征，组成所述样本异常文件的特征集合；

公共数据串获取模块，用于根据所述多个样本异常文件确定公共数据串，所述公共数据串为至少两个样本异常文件的指定数据层均包括的数据串，所述指定数据层为数据串数量满足条件的数据层，所述数据串为连续的一串数据；

目标文件获取模块，用于获取待识别的目标文件；

所述特征集合获取模块，还用于根据所述目标文件的多个数据层的特征，获取所述目标文件的特征集合；

异常文件确定模块，用于当所述特征集合中的每个特征与任一样本异常文件的相同数据层的特征均匹配时，确定所述特征集合与所述任一样本异常文件的特征集合匹配；

所述异常文件确定模块，用于当所述特征集合与所述任一样本异常文件的特征集合匹配，且所述目标文件与所述任一样本异常文件的指定数据层均包括所述公共数据串时，确定所述目标文件为异常文件。