[发明专利]恶意软件识别方法、装置、设备及计算机可读存储介质

权利要求书

1.一种恶意软件识别方法，其特征在于，所述方法包括：

获取包含正常软件和恶意软件的样本集，提取所述样本集的软件运行特征的特征项；

对所述特征项进行关联分析得到关联特征项；

对所述样本集的特征项及所述关联特征项做有效特征筛选，得到有效特征集；

根据所述有效特征集，构造基于不同分类算法的分类器；

利用所述样本集分别对每个所述分类器进行恶意软件识别的训练，直到所述训练满足预设条件时，退出所述训练，得到每个所述分类器的识别结果；

利用所述识别结果及所述样本集的真实结果，计算得到每个所述分类器的精准率及召回率之间的调和值，选择所述调和值最高的分类器作为目标分类器；

利用所述目标分类器对待检测软件进行恶意软件识别。

2.如权利要求1所述的一种恶意软件识别方法，其特征在于，所述获取包含正常软件和恶意软件的样本集，包括：

获取用于训练的包含正常软件和恶意软件的软件集；

依次提取所述软件集中每种软件的程序文件；

汇集所述程序软件作为所述样本集。

3.如权利要求1或2中任一项所述的一种恶意软件识别方法，其特征在于，所述提取所述样本集的软件运行特征的特征项，包括：

获取所述样本集中每个样本对应的程序文件的文件类型；

在预设的特征标签集中，查询每种所述文件类型对应的特征标签，得到所述文件类型对应的样本的特征标签；

依次利用每个样本的特征标签对相应的样本进行标注得到标注条目；

汇集所有标注条目得到所述样本集的特征项。

4.如权利要求1所述的一种恶意软件识别方法，其特征在于，所述对所述特征项进行关联分析得到关联特征项，包括：

逐次计算每个所述特征项的支持度；

选取大于或等于预设的最小支持度的支持度对应的特征项组成频繁项集；

利用预设的关联分析算法对所述频繁项集进行分析，得到关联特征项。

5.如权利要求1所述的一种恶意软件识别方法，其特征在于，所述对所述样本集的特征项及所述关联特征项做有效特征筛选得到有效特征集，包括：

对所述样本集的每个所述特征项及每个所述关联特征项进行向量映射，得到特征向量集；

从所述特征向量集中，随机选取预设数量的特征向量作为聚类中心；

依次计算所述特征向量集中每个特征向量到所述聚类中心的距离，并将每个所述特征向量划分到距离最小的聚类中心对应的类别中，得到多个类别簇；

重新计算每个类别簇的聚类中心，并返回上述的依次计算所述特征向量集中每个特征向量到所述聚类中心的距离的步骤，直至所述多个类别簇的聚类中心收敛，将收敛的类别簇对应的特征项及关联特征项作为所述样本集的有效特征集。

6.如权利要求1所述的一种恶意软件识别方法，其特征在于，所述利用所述样本集分别对每个所述分类器进行恶意软件识别的训练，直到所述训练满足预设条件时，退出所述训练，得到每个所述分类器的识别结果，包括：

利用每个所述分类器对所述样本集进行分类特征提取，得到所述样本集的分类特征集；

利用预设的预测函数对所述分类特征集进行恶意软件的概率计算，得到所述样本集中每个样本的识别结果；

利用预设的损失函数，判断所述识别结果与所述样本集的真实结果之间的误差值是否满足预设条件；

若所述误差值不满足所述预设条件，则调整每个所述分类器的参数值，并返回所述利用每个所述分类器对所述样本集进行分类特征提取的步骤；

若所述误差值满足所述预设条件，则退出所述分类器的训练。

7.如权利要求1所述的一种恶意软件识别方法，其特征在于，所述利用所述识别结果及所述样本集的真实结果，计算得到每个所述分类器的精准率及召回率之间的调和值，包括：

利用如下调和值公式计算每个所述分类器的调和值：

其中，K表示所述调和值，p_j表示所述精准率，p_z表示所述召回率。