惡意程序樣本家族命名方法及裝置的制造方法
【技術領域】
[0001]本發(fā)明涉及計算機軟件技術領域，尤其涉及惡意程序樣本家族命名方法及裝置。
【背景技術】
[0002]隨著信息化的發(fā)展，人們的工作和生活越來越離不開互聯(lián)網(wǎng)?；ヂ?lián)網(wǎng)在帶來極大便利的同時，也出現(xiàn)了很多安全問題。近年來，計算機惡意程序數(shù)量迅猛發(fā)展，包括病毒、蠕蟲、木馬等惡意程序大規(guī)模爆發(fā)，給計算機用戶造成了巨大的威脅和財產(chǎn)損失。由于惡意程序樣本存在著大量的變種，以及同一作者所生產(chǎn)的樣本的源代碼具有很大的相似性等原因，發(fā)現(xiàn)樣本之間的關聯(lián)關系、對海量樣本進行同源性分析是非常有必要的，這就涉及到海量樣本的聚類。安全廠商每天收到成千上萬份惡意程序樣本，從這些樣本中提取共性并家族化，以惡意程序樣本家族為單位提供解決方案，可以盡快處理這些安全威脅。在對惡意程序樣本家族進行安全處理的過程中，可能會涉及到樣本家族的命名。而現(xiàn)有技術中并未提出針對惡意程序樣本家族的有效命名方案，不便于對惡意程序樣本家族進行安全處理。

【發(fā)明內(nèi)容】

[0003]本發(fā)明實施例提供一種惡意程序樣本家族命名方法，用以實現(xiàn)對惡意程序樣本家族的命名，該方法包括:
[0004]對惡意程序樣本進行動態(tài)聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果；
[0005]對惡意程序樣本進行靜態(tài)聚類，獲得惡意程序樣本的靜態(tài)聚類結(jié)果；
[0006]根據(jù)靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫；
[0007]對惡意程序樣本數(shù)據(jù)庫中每個樣本家族，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名。
[0008]一個實施例中，對惡意程序樣本進行動態(tài)聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果，包括:
[0009]在沙箱中運行惡意程序樣本，形成惡意程序樣本的行為日志；
[0010]對惡意程序樣本的行為日志進行去隨機化處理；
[0011]對惡意程序樣本的行為日志進行聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果。
[0012]—個實施例中，根據(jù)靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫，包括:
[0013]對于動態(tài)聚類結(jié)果中分至同一類別的惡意程序樣本，若靜態(tài)聚類結(jié)果表明這些惡意程序樣本之間的差別超過預設的范圍，則修正動態(tài)聚類結(jié)果，將這些惡意程序樣本設置為不同類別。
[0014]—個實施例中，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名之前，還包括:對樣本家族中所包括樣本進行查殺，確定樣本家族中所包括樣本的屬性。
[0015]—個實施例中，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名，包括:若樣本家族中超過設定比例的樣本具有相同屬性，則根據(jù)該相同屬性對樣本家族進行命名。
[0016]—個實施例中，若樣本家族中超過設定比例的樣本具有相同屬性，則確定樣本家族中所有樣本具有該相同屬性。
[0017]一個實施例中，若樣本家族中包括至少兩組樣本，每組樣本數(shù)占樣本總數(shù)的比例相同，每組內(nèi)樣本屬性相同，各組間樣本屬性不同，則根據(jù)預設規(guī)則選擇一組樣本，根據(jù)該組樣本的屬性對樣本家族進行命名。
[0018]本發(fā)明實施例還提供一種惡意程序樣本家族命名裝置，用以實現(xiàn)對惡意程序樣本家族的命名，該裝置包括:
[0019]動態(tài)聚類模塊，用于對惡意程序樣本進行動態(tài)聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果；
[0020]靜態(tài)聚類模塊，用于對惡意程序樣本進行靜態(tài)聚類，獲得惡意程序樣本的靜態(tài)聚類結(jié)果；
[0021]分類確定模塊，用于根據(jù)靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫；
[0022]命名處理模塊，用于對惡意程序樣本數(shù)據(jù)庫中每個樣本家族，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名。
[0023]—個實施例中，動態(tài)聚類模塊具體用于:
[0024]在沙箱中運行惡意程序樣本，形成惡意程序樣本的行為日志；
[0025]對惡意程序樣本的行為日志進行去隨機化處理；
[0026]對惡意程序樣本的行為日志進行聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果。
[0027]—個實施例中，分類確定模塊具體用于:
[0028]對于動態(tài)聚類結(jié)果中分至同一類別的惡意程序樣本，若靜態(tài)聚類結(jié)果表明這些惡意程序樣本之間的差別超過預設的范圍，則修正動態(tài)聚類結(jié)果，將這些惡意程序樣本設置為不同類別。
[0029]—個實施例中，命名處理模塊還用于:在根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名之前，對樣本家族中所包括樣本進行查殺，確定樣本家族中所包括樣本的屬性。
[0030]—個實施例中，命名處理模塊具體用于:若樣本家族中超過設定比例的樣本具有相同屬性，則根據(jù)該相同屬性對樣本家族進行命名。
[0031 ] 一個實施例中，命名處理模塊還用于:若樣本家族中超過設定比例的樣本具有相同屬性，則確定樣本家族中所有樣本具有該相同屬性。
[0032]—個實施例中，命名處理模塊具體用于:若樣本家族中包括至少兩組樣本，每組樣本數(shù)占樣本總數(shù)的比例相同，每組內(nèi)樣本屬性相同，各組間樣本屬性不同，則根據(jù)預設規(guī)則選擇一組樣本，根據(jù)該組樣本的屬性對樣本家族進行命名。
[0033]本發(fā)明實施例中，先分別對惡意程序樣本進行動態(tài)聚類和靜態(tài)聚類，在獲得惡意程序樣本的動態(tài)聚類結(jié)果和靜態(tài)聚類結(jié)果之后，根據(jù)靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫；對惡意程序樣本數(shù)據(jù)庫中每個樣本家族，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名，從而實現(xiàn)對惡意程序樣本家族的命名，以便于對惡意程序樣本家族進行安全處理。并且，在本發(fā)明實施例中，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名，可以使樣本家族的命名準確反映樣本家族所包括樣本的屬性，有利于在對樣本家族進行安全處理時根據(jù)樣本家族的命名進行有針對性的處理，以提高樣本家族的安全處理效率。
【附圖說明】
[0034]為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術中的技術方案，下面將對實施例或現(xiàn)有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領域普通技術人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。在附圖中:
[0035]圖1為本發(fā)明實施例中惡意程序樣本家族命名方法的示意圖；
[0036]圖2為本發(fā)明實施例中惡意程序樣本A、B的動態(tài)日志聚類結(jié)果對比示例圖；
[0037]圖3為本發(fā)明實施例中惡意程序樣本A、B的文件大小對比示例圖；
[0038]圖4為本發(fā)明實施例中惡意程序樣本A具有的函數(shù)示例圖；
[0039]圖5為本發(fā)明實施例中惡意程序樣本B具有的函數(shù)示例圖；
[0040]圖6為本發(fā)明實施例中惡意程序樣本家族命名裝置的示意圖。
【具體實施方式】
[0041]為使本發(fā)明實施例的目的、技術方案和優(yōu)點更加清楚明白，下面結(jié)合附圖對本發(fā)明實施例做進一步詳細說明。在此，本發(fā)明的示意性實施例及其說明用于解釋本發(fā)明，但并不作為對本發(fā)明的限定。
[0042]發(fā)明人考慮到，一方面，對樣本家族進行命名之前，需要先準確地確定出樣本家族，而現(xiàn)有的惡意程序樣本聚類方法有動態(tài)聚類和靜態(tài)聚類兩種，然而對惡意程序樣本無論是進行動態(tài)聚類還是進行靜態(tài)聚類，所得的聚類結(jié)果均不準確，例如動態(tài)聚類時有可能樣本的某些行為并未觸發(fā)，導致樣本行為收集不全，此時聚類結(jié)果不太準確，而如果能夠?qū)討B(tài)聚類與靜態(tài)聚類相結(jié)合，則能最大程度地提高惡意程序樣本聚類結(jié)果的準確性；另一方面，現(xiàn)有技術中并未提出針對惡意程序樣本家族的有效命名方案，而如果能夠有規(guī)律地實現(xiàn)對惡意程序樣本家族的命名，將有利于根據(jù)樣本家族的命名對樣本家族進行高效率的安全處理；基于此兩方面的考慮，在本發(fā)明實施例中提供一種惡意程序樣本家族命名方法。圖1為本發(fā)明實施例中惡意程序樣本家族命名方法的示意圖，如圖1所示，該方法包括:
[0043]步驟101、對惡意程序樣本進行動態(tài)聚類，獲得惡意程序樣本的動態(tài)聚類結(jié)果；
[0044]步驟102、對惡意程序樣本進行靜態(tài)聚類，獲得惡意程序樣本的靜態(tài)聚類結(jié)果；
[0045]步驟103、根據(jù)靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫；
[0046]步驟104、對惡意程序樣本數(shù)據(jù)庫中每個樣本家族，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名。
[0047]由圖1所示流程可以得知，本發(fā)明實施例中結(jié)合動態(tài)聚類和靜態(tài)聚類對惡意程序樣本進行精確聚類，利用靜態(tài)聚類結(jié)果對動態(tài)聚類結(jié)果進行篩選，基于篩選后的動態(tài)聚類結(jié)果形成惡意程序樣本數(shù)據(jù)庫，能夠提高惡意程序樣本聚類結(jié)果的準確性；在準確確定惡意程序樣本家族后，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名，從而實現(xiàn)對惡意程序樣本家族的命名，以便于對惡意程序樣本家族進行安全處理。其中，根據(jù)樣本家族所包括樣本的屬性對樣本家族進行命名，可以使樣本家族的命名準確反映樣本家族所包括樣本的屬性，這樣后續(xù)在對樣本家族進行安全處理時可以根據(jù)樣本家族的命名進行有針對性的處理，從而提高樣本家族的安全處理效