[发明专利]一种可移植可执行文件的聚类方法和装置

权利要求书

1.一种可移植可执行文件的聚类方法，其特征在于，所述方法包括：

提取可移植可执行PE文件的特征；

根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识；

根据所述PE文件标识，对所述PE文件进行聚类。

2.根据权利要求1所述的方法，其特征在于，所述提取可移植可执行PE文件的特征之后，包括：

将提取的所述PE文件的特征组成PE文件特征集合；所述PE文件特征集合包括至少一个特征；

相应地，所述根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识，包括：

根据所述PE文件特征集合，生成与所述PE文件对应的PE文件标识。

3.根据权利要求1所述的方法，其特征在于，所述根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识，包括：

当提取的所述PE文件的特征与其他PE文件的特征的相似度达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识相同；

当提取的所述PE文件的特征与其他PE文件的特征的相似度未达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识不同。

4.根据权利要求3所述的方法，其特征在于，当所述PE文件标识具体为数值标识时，所述方法包括：

当提取的所述PE文件的特征与其他所述PE文件的特征中有部分相同时，根据所述相同的特征的个数，确定所述PE文件生成的PE数值标识与其他所述PE文件生成的PE数值标识的差距。

5.根据权利要求1或3所述的方法，其特征在于，所述根据所述PE文件标识，对所述PE文件进行聚类，包括：

将所述PE文件标识相同的所有的所述PE文件，划分为同一个类别；

对所述同一类别的所有的所述PE文件进行聚类，并用所述PE文件标识对所述同一类别的所有的所述PE文件进行标识。

6.一种可移植可执行文件的聚类装置，其特征在于，所述装置包括：

提取模块，用于提取可移植可执行PE文件的特征；

生成模块，用于根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识；

聚类模块，用于根据所述PE文件标识，对所述PE文件进行聚类。

7.根据权利要求6所述的装置，其特征在于，所述提取模块，用于提取可移植可执行PE文件的特征之后，将提取的所述PE文件的特征组成PE文件特征集合；所述PE文件特征集合包括至少一个特征；

相应地，所述生成模块，用于根据所述PE文件特征集合，生成与所述PE文件对应的PE文件标识。

8.根据权利要求6所述的装置，其特征在于，所述生成模块，包括：

第一处理单元，用于当提取的所述PE文件的特征与其他PE文件的特征的相似度达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识相同；

第二处理单元，用于当提取的所述PE文件的特征与其他PE文件的特征的相似度未达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识不同。

9.根据权利要求8所述的装置，其特征在于，所述生成模块包括：

第三处理单元，用于在当所述PE文件标识具体为数值标识时，如果提取的所述PE文件的特征与其他所述PE文件的特征中有部分相同，根据所述相同的特征的个数，确定所述PE文件生成的PE数值标识与其他所述PE文件生成的PE数值标识的差距。

10.根据权利要求6或8所述的装置，其特征在于，所述聚类模块，包括：

聚类单元，用于将所述PE文件标识相同的所有的所述PE文件，划分为同一个类别；对所述同一类别的所有的所述PE文件进行聚类；

标识单元，用所述PE文件标识对所述同一类别的所有的所述PE文件进行标识。