[发明专利]一种恶意软件识别方法、装置、电子设备及存储介质

权利要求书

1.一种恶意软件识别方法，其特征在于，所述方法包括：

获取预设数量的恶意训练样本和良性训练样本，组成训练样本集；

提取训练样本集中训练样本的恶意行为特征，其中该特征包括语义层特征和/或启发层特征；

利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练；

基于训练后的恶意软件识别模型，识别待识别软件是否为恶意软件。

2.根据权利要求1所述的方法，其特征在于，在提取训练样本集中训练样本的恶意行为特征之前，还包括：对训练样本集中的训练样本进行去重处理。

3.根据权利要求1所述的方法，其特征在于，在提取训练样本集中训练样本的恶意行为特征之前，还包括：

利用多种杀毒引擎，对训练样本集中训练样本的标签信息进行校正。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

当所述校正失败时，计算该训练样本与所述训练样本集中其它训练样本的特征相似度；

将相似度最大且满足预设的第一相似度阈值的其它训练样本的标签信息，作为该训练样本最终的标签信息。

5.根据权利要求1所述的方法，其特征在于，在提取训练样本集中训练样本的恶意行为特征之前，还包括：

计算训练样本集中未知标签信息的目标训练样本的特征与恶意家族特征的相似度；

将相似度最大且满足预设的第二相似度阈值的恶意家族特征所对应的标签信息，作为所述目标训练样本的标签信息。

6.根据权利要求1所述的方法，其特征在于，在利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练之前，所述方法还包括：

对所提取的恶意行为特征进行降维处理。

7.根据权利要求1所述的方法，其特征在于，利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练，包括：

划分训练样本集中训练样本的类型，其中不同类型的训练样本对应不同的恶意软件识别子模型；

针对所划分的每种类型：利用该种类型的训练样本的恶意行为特征及其标签信息，对所对应的恶意软件识别子模型进行训练。

8.根据权利要求7所述的方法，其特征在于，在对所对应的恶意软件识别子模型进行训练之后，所述方法还包括：

如果恶意软件识别子模型识别测试样本是否为恶意软件时，无法得到预期的识别结果，则增加新的恶意行为特征，重新训练该恶意软件识别子模型。

9.根据权利要求7所述的方法，其特征在于，对所对应的恶意软件识别子模型进行训练，包括：

采用集成学习算法，对所对应的恶意软件识别子模型进行训练。

10.一种恶意软件识别装置，其特征在于，所述装置包括：

样本获取单元，用于获取预设数量的恶意训练样本和良性训练样本，组成训练样本集；

样本特征提取单元，用于提取训练样本集中训练样本的恶意行为特征，其中该特征包括语义层特征和/或启发层特征；

模型训练单元，用于利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练；

软件识别单元，用于基于训练后的恶意软件识别模型，识别待识别软件是否为恶意软件。