[发明专利]恶意软件的聚类方法及装置、计算机装置及可读存储介质

权利要求书

1.一种恶意软件的聚类方法，其特征在于，包括：

选取多个恶意软件作为样本；

获取所述样本的威胁情报，所述威胁情报是针对样本的恶意属性的描述文本；

从所述样本的威胁情报中提取所述样本的威胁情报特征，所述威胁情报特征是从所述威胁情报中提取的针对样本的恶意属性的描述文本；

根据样本间的聚类特征的距离，对所述样本进行聚类，其中每个所述样本的聚类特征包括所述样本的网络流量特征以及所述样本的威胁情报特征。

2.根据权利要求1所述的恶意软件的聚类方法，其特征在于，所述根据样本间的聚类特征的距离，对所述样本进行聚类包括：

利用所述样本的聚类特征按照备选聚类数目对所述样本进行聚类，得到备选聚类结果；

根据所述样本间的威胁情报特征的距离计算所述备选聚类结果的聚类效果指标；

选择聚类效果指标最优的备选聚类结果作为最终的聚类结果。

3.根据权利要求2所述的恶意软件的聚类方法，其特征在于，所述样本的威胁情报包括多个杀毒软件对所述样本的扫描结果；

所述样本的威胁情报特征为所述多个杀毒软件对所述样本的威胁情报特征的集合，所述多个杀毒软件中目标杀毒软件对所述样本的威胁情报特征为从所述目标杀毒软件对所述样本的扫描结果中提取的、与恶意属性相关的描述文本。

4.根据权利要求3所述的恶意软件的聚类方法，其特征在于，所述根据所述样本间的威胁情报特征的距离计算所述备选聚类结果的聚类效果指标包括：

计算样本i和样本j的威胁情报特征中同一杀毒软件的威胁情报特征之间的子距离，组成距离集合，样本i和样本j为所述样本中的不同样本；

计算所述距离集合中所有子距离的均值，作为样本i和样本j之间的距离；

利用样本i和样本j之间的距离计算所述备选聚类结果的聚类效果指标。

5.一种恶意软件的聚类装置，其特征在于，包括：

选取模块，用于选取多个恶意软件作为样本；

情报获取模块，用于获取所述样本的威胁情报，所述威胁情报是针对样本的恶意属性的描述文本；

第一提取模块，用于从所述样本的威胁情报中提取所述样本的威胁情报特征，所述威胁情报特征是从所述威胁情报中提取的针对样本的恶意属性的描述文本；

聚类模块，用于根据样本间的聚类特征的距离，对所述样本进行聚类，其中每个所述样本的聚类特征包括所述样本的网络流量特征以及所述样本的威胁情报特征。

6.根据权利要求5所述的恶意软件的聚类装置，其特征在于，所述聚类模块包括：

聚类单元，用于利用所述样本的聚类特征按照备选聚类数目对所述样本进行聚类，得到备选聚类结果；

计算单元，用于根据所述样本间的威胁情报特征的距离计算所述备选聚类结果的聚类效果指标；

选择单元，用于选择聚类效果指标最优的备选聚类结果作为最终的聚类结果。

7.根据权利要求6所述的恶意软件的聚类装置，其特征在于，所述样本的威胁情报包括多个杀毒软件对所述样本的扫描结果；

所述样本的威胁情报特征为所述多个杀毒软件对所述样本的威胁情报特征的集合，所述多个杀毒软件中目标杀毒软件对所述样本的威胁情报特征为从所述目标杀毒软件对所述样本的扫描结果中提取的、与恶意属性相关的描述文本。

8.根据权利要求7所述的恶意软件的聚类装置，其特征在于，所述计算单元包括：

第一计算子单元，用于计算样本i和样本j的威胁情报特征中同一杀毒软件的威胁情报特征之间的子距离，组成距离集合，样本i和样本j为所述样本中的不同样本；

第二计算子单元，用于计算所述距离集合中所有子距离的均值，作为样本i和样本j之间的距离；

第三计算子单元，用于利用样本i和样本j之间的距离计算所述备选聚类结果的聚类效果指标。

9.一种计算机装置，其特征在于，所述计算机装置包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现如权利要求1-4中任意一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1-4中任意一项所述方法的步骤。