[发明专利]文件特征提取范围配置及静态恶意软件识别的方法、系统

权利要求书

1.一种用于静态恶意软件识别的文件特征提取范围配置的方法，其特征在于，包括：

根据预设的n个不同扫描范围的候选配置对训练集中的m个样本文件进行特征提取，以得到针对m个样本文件中每个样本文件的n类特征向量，n≥2，m≥2，n和m为正整数，其中，所述n个不同扫描范围的候选配置中，每个扫描范围的候选配置包括：节头部扫描范围和节尾部扫描范围；

基于机器学习模型对m个样本文件的同一个候选配置对应的特征向量进行训练，以得到n个用于判定待识别文件是否为恶意文件的判别模型；

基于相同的评价指标对n个判别模型进行评价，以得到n个归一化的效果指标值；

根据预设的n个不同扫描范围的候选配置确定n个归一化的IO指标值，包括：

将每个候选配置的节头部扫描范围和节尾部扫描范围相加得到每个候选配置的绝对IO指标值；确定n个候选配置的绝对IO指标值中的最大值、最小值以及最大值与最小值之间的极差；以及根据所述最大值和每个候选配置的绝对IO指标值的差值与所述极差的比值得到每个候选配置归一化的IO指标值；或者

将每个候选配置的节头部扫描范围和节尾部扫描范围相加得到每个候选配置的绝对IO指标值；以及根据第一预设值和每个候选配置的绝对IO指标值的差值与所述第一预设值的比值得到每个候选配置归一化的IO指标值；其中，第一预设值大于等于样本文件的最大扫描范围；

根据每个候选配置的IO指标值和效果指标值确定所述n个不同扫描范围的候选配置中的最优化配置，所述最优化配置为待识别文件用于进行特征提取的扫描范围配置。

2.根据权利要求1所述的方法，其特征在于，所述根据每个候选配置的IO指标值和效果指标值确定所述n个不同扫描范围的候选配置中的最优化配置，包括：

将每个候选配置的IO指标值与效果指标值进行融合，以得到综合效果指标值；以及

根据综合效果指标值的大小确定综合效果指标值最大的候选配置为n个不同扫描范围的候选配置中的最优化配置。

3.根据权利要求2所述的方法，其特征在于，其中，所述融合的方法包括以下一种：将所述IO指标值与效果指标值进行加权平均计算，或者，将所述IO指标值与效果指标值进行算术平均计算，或者，将所述IO指标值与效果指标值进行调和平均数计算。

4.根据权利要求1所述的方法，其特征在于，基于机器学习模型对m个样本文件的同一个候选配置对应的特征向量进行训练，以得到n个用于判定待识别文件是否为恶意文件的判别模型，包括：

将第1个样本文件~第m个样本文件的第j类特征向量输入至机器学习模型中进行训练，机器学习模型的输出为：所输入的样本文件是否为恶意文件的结果，训练标签为样本文件是否为恶意文件的真实情况，其中j的取值遍历1~n中的每一个，针对j为不同取值的训练过程，保证训练程度相当，以得到n个用于判定待识别文件是否为恶意文件的判别模型。

5.一种静态恶意软件识别的方法，其特征在于，包括：

基于最优化配置对待识别文件进行特征提取，以得到待识别文件的特征向量；所述最优化配置采用权利要求1-4中任一项所述的方法获得；

将所述待识别文件的特征向量输入至最优化判别模型进行识别，以得到待识别文件是否为恶意文件的结果；其中，所述最优化判别模型为所述最优化配置对应的判别模型。