[发明专利]一种基于Jaccard系数的恶意样本相似性判定方法

权利要求书

1.一种基于Jaccard系数的恶意样本相似性判定方法，其特征在于，其具体包括：

S1，利用String命令对恶意样本Ⅰ和恶意样本Ⅱ分别进行解析并提取恶意样本字符串，将提取到的恶意样本字符串分别转化为样本字符串集合A和B；

S2，计算出样本字符串集合A和B之间的Jaccard系数；Jaccard系数用于比较有限样本集之间的相似性与差异性，字符串集合A和字符串集合B之间的Jaccard系数的计算公式为：

其中，|·|表示计算集合中元素的个数，J(A，B)∈[0,1]，当集合A，B都为空时，定义J(A,B)取值为1；

S3，依据步骤S2所计算得到的Jaccard系数值，设定一个判定阈值μ，若计算得到的Jaccard系数值大于μ，则判定恶意样本Ⅰ和恶意样本Ⅱ之间具有较强的相似性；若计算得到的Jaccard系数值小于μ，则判定两个恶意样本之间没有较强的相似性；

S4，对于具有较强的相似性的恶意样本Ⅰ和恶意样本Ⅱ，将其对应的字符串集合A和字符串集合B中的每个字符串分别转化为数字，得到两个字符串数值向量a和b，将两个字符串数值向量a和b分别均分为N段字符串子向量，即得到：

a＝[a₁,a₂,…,a_N]，b＝[b₁,b₂,…,b_N]，

以字符串子向量为基本元素，计算两个字符串数值向量a和b的互相关矩阵R，即得到：

R＝a^Tb，

其中，互相关矩阵R的第i行、第j列的元素r_ij＝a_ib_j^T，a_i表示字符串数值向量a的第i个字符串子向量，i＝1,2,…,N，b_j表示字符串数值向量b的第j个字符串子向量，j＝1,2,…,N；对互相关矩阵R进行特征分解，得到N个特征向量和特征值，根据特征值大小对特征向量进行筛选，筛选出的M个特征向量所构成的特征矩阵E记为：

E＝[v₁,v₂,…,v_M]，

其中，v_k表示第k个特征向量，k＝1,2,…,M，特征向量均为列向量；利用字符串子向量构建空间谱函数P()，字符串数值向量a的第i个字符串子向量和字符串数值向量b的第j个字符串子向量所对应的空间谱函数P(i,j)的计算公式为：

P(i,j)＝a_iEE^Hb_j^T，

对字符串集合A和字符串集合B中的所有字符串子向量的两两组合，计其对应的空间谱函数，找到空间谱函数取值最大时对应的字符串子向量的序号组合，确定该序号组合在字符串集合A和字符串集合B中对应的字符串子向量，再将该字符串子向量对应到字符串集合A和字符串集合B中相应的字符串，即为恶意样本所在的字符串；

所述的根据特征值大小对特征向量进行筛选，其具体是，筛选出接近于1的特征值所对应的特征向量，或设定一个阈值μ₀，筛选出大于μ₀的特征值所对应的特征向量，阈值μ₀大于0.5。

2.如权利要求1所述的基于Jaccard系数的恶意样本相似性判定方法，其特征在于，所述的步骤S1具体包括：

S11，利用String命令对恶意样本Ⅰ进行解析并提取出恶意样本字符串，建立对应的样本字符串集合A，将解析出来的恶意样本字符串逐个添加到样本字符串集合A中；

S12，利用String命令对恶意样本Ⅱ进行解析并提取出恶意样本字符串，建立对应的样本字符串集合B，将解析出来的恶意样本字符串逐个添加到样本字符串集合B中。