[发明专利]基于混合特征和EMD的恶意代码半监督聚类方法

权利要求书

1.基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于包括以下步骤：

步骤一：提取恶意代码的静态字节特征，形成字节频率权重直方图

步骤二：提取恶意代码的动态API特征，形成API频率权重直方图

步骤三：混合静态特征和静态特征形成混合特征

步骤四：将EMD用于恶意代码特征相似性计算

步骤五：将相似性矩阵输入到半监督聚类算法S-DBSACN算法进行恶意代码聚类。

2.根据权利要求1所述的基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于步骤二中提取恶意代码中的动态API特征，计算每个API所占权重，将权重应用于动态特征。

3.根据权利要求1所述的基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于步骤三中根据静态特征和动态特征各自的平均EMD，计算出各自的占比，用混合特征来代表恶意代码，弥补静态和动态特征各自的不足。

4.根据权利要求1所述的基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于步骤四中将动态规划距离EMD用于恶意代码的特征相似性计算，可有效区分出不同家族的恶意代码。

5.根据权利要求1所述的基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于步骤五将半监督聚类应用于恶意代码家族聚类，完善密度聚类对稀疏数据集效果较差的缺陷，提升恶意代码的家族聚类效果。

6.基于混合特征和EMD的恶意代码半监督聚类方法，其特征在于步骤一中提取恶意代码的静态字节特征，去除填充字节0和90，计算每个字节所占的权重，将权重应用于静态特征。