[发明专利]一种可移植可执行文件的聚类方法和装置

说明书

技术领域

本发明涉及网络通信领域，特别涉及一种可移植可执行文件的聚类方法和装置。

背景技术

随着互联网的发展，信息成爆炸式增长，计算机病毒、蠕虫、木马程序等计算机恶意程序流行的周期也越来越短，每日都会有大量的病毒危害用户的安全。由于大部分的病毒文件都是PE（Portable Executable，可移植可执行）文件格式，这些病毒PE文件虽然数量大，但是很多都具有相似特性，可以通过聚类对PE文件事先进行归类，这样有利于病毒的分析和查杀。

目前，对PE文件聚类方法主要分为两种：一种是传统的PE文件聚类方法，如k均值聚类、层次聚类等，首先提取PE文件的某些特征，然后根据提取的特征对两个PE文件进行相似性比对，再对相似的PE文件进行聚类；另一种是基于模糊哈希的PE文件聚类方法，又叫CTPH（Context Triggered Piecewise Hashing，基于内容分割的分片哈希算法），首先将PE文件分割成多个分片，然后对两个PE文件的分片进行比对，确定PE文件的相似性从而进行聚类。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

第一种传统的PE文件聚类方法，对两个PE文件进行比对时，需要对所提取的特征进行对齐，由于PE文件差异性大，在进行对齐极为耗时，还需要对多个特征进行比对，计算复杂度很大，并且对新增数据进行增量聚类时，需要同时聚类原来数据，数据存储和处理的成本高；第二种基于模糊哈希的PE文件聚类方法，依赖于PE文件的分割，PE文件分割的起始位置以及分割的分片的大小，都会影响文件的哈希值，稳定性差，可比性差；并且没有触及PE文件的内在信息，使得很多病毒PE文件会通过修改自身结构产生变种，如增删比特等操作，结果将导致其模糊哈希值完全不同而无法聚类。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种可移植可执行文件的聚类方法和装置。所述技术方案如下：

一方面，提供了一种可移植可执行文件的聚类方法，所述方法包括：

提取可移植可执行PE文件的特征；

根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识；

根据所述PE文件标识，对所述PE文件进行聚类。

具体地，所述提取可移植可执行PE文件的特征之后，包括：

将提取的所述PE文件的特征组成PE文件特征集合；所述PE文件特征集合包括至少一个特征；

相应地，所述根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识，包括：

根据所述PE文件特征集合，生成与所述PE文件对应的PE文件标识。

具体地，所述根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识，包括：

当提取的所述PE文件的特征与其他PE文件的特征的相似度达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识相同；

当提取的所述PE文件的特征与其他PE文件的特征的相似度未达到预设的阈值时，生成的所述PE文件的PE文件标识与其他所述PE文件的PE文件标识不同。

进一步地，当所述PE文件标识具体为数值标识时，所述方法包括：

当提取的所述PE文件的特征与其他所述PE文件的特征中有部分相同时，根据所述相同的特征的个数，确定所述PE文件生成的PE数值标识与其他所述PE文件生成的PE数值标识的差距。

具体地，所述根据所述PE文件标识，对所述PE文件进行聚类，包括：

将所述PE文件标识相同的所有的所述PE文件，划分为同一个类别；

对所述同一类别的所有的所述PE文件进行聚类，并用所述PE文件标识对所述同一类别的所有的所述PE文件进行标识。

另一方面，提供了一种可移植可执行文件的聚类装置，所述装置包括：

提取模块，用于提取可移植可执行PE文件的特征；

生成模块，用于根据所述PE文件的特征，生成与所述PE文件对应的PE文件标识；

聚类模块，用于根据所述PE文件标识，对所述PE文件进行聚类。

具体地，所述提取模块，用于提取可移植可执行PE文件的特征之后，将提取的所述PE文件的特征组成PE文件特征集合；所述PE文件特征集合包括至少一个特征；

相应地，所述生成模块，用于根据所述PE文件特征集合，生成与所述PE文件对应的PE文件标识。

具体地，所述生成模块，包括：