[发明专利]病毒数据包的识别方法、装置及系统

权利要求书

1.一种病毒数据包的识别方法，其特征在于，包括：

获取多个待识别的数据包的特征；

将所述多个待识别的数据包中两个待识别的数据包记作第一待识别数据包和第二待识别数据包，获取所述第一待识别数据包的第一数据包特征和所述第二待识别数据包的第二数据包特征，其中，所述第一数据包特征包括第一数量的第一子特征，所述第二数据包特征包括第二数量的第二子特征；

判断所述第一数量与所述第二数量的比值是否符合预设比值；

在所述第一数量与所述第二数量的所述比值不符合所述预设比值的情况下，确定两个待识别的数据包的相似度不大于预设阈值；

在所述第一数量与所述第二数量的所述比值符合所述预设比值的情况下，计算所述第一待识别数据包与所述第二待识别数据包的所述相似度，并判断所述相似度是否大于所述预设阈值；

根据所述相似度与所述预设阈值的大小对多个待识别的数据包聚类分析得到多个集合；

以所述集合为单位查找所述第一数据包，其中，所述第一数据包不同于病毒样本库中已记录的病毒数据包；

获取所述第一数据包的第一特征和与所述第一特征对应的病毒概率，其中，所述病毒概率是用于表示携带有所述第一特征的数据包为病毒的概率；

使用所述病毒概率和所述第一特征确定所述第一数据包是否为所述病毒数据包。

2.根据权利要求1所述的识别方法，其特征在于，

在使用所述病毒概率和所述第一特征确定所述第一数据包是否为所述病毒数据包之后，所述识别方法包括：在确定所述第一数据包为所述病毒数据包的情况下，确定所述第一数据包为已知病毒数据包的变种病毒数据包，

其中，所述已知病毒数据包位于所述第一数据包所在的集合中，且记录在所述病毒样本库中。

3.根据权利要求2所述的识别方法，其特征在于，根据所述相似度与所述预设阈值的大小对多个待识别的数据包聚类分析得到多个集合包括：

在所述相似度大于所述预设阈值的情况下，将所述两个待识别的数据包分入同一个集合；

在所述相似度不大于所述预设阈值的情况下，将所述两个待识别的数据包分入不同的集合。

4.根据权利要求1所述的识别方法，其特征在于，计算所述第一待识别数据包与所述第二待识别数据包的所述相似度，并判断所述相似度是否大于所述预设阈值包括：

记录与所述第二子特征不同的所述第一子特征的第三数量；

判断所述第三数量是否超过预设数量；

在所述第三数量超过所述预设数量的情况下，确定所述相似度不大于所述预设阈值；

在所述第三数量不超过所述预设数量的情况下，计算所述第一待识别数据包和所述第二待识别数据包的所述相似度；

在所述相似度大于所述预设阈值的情况下，确定所述相似度大于所述预设阈值；

在所述相似度不大于所述预设阈值的情况下，确定所述相似度不大于所述预设阈值。

5.根据权利要求3或4所述的识别方法，其特征在于，在根据所述相似度与所述预设阈值的大小对多个待识别的数据包聚类分析得到多个集合之前，所述识别方法还包括：

将所述相似度和所述相似度与所述预设阈值的大小关系保存入数据包特征相似矩阵；

在获取到新待识别的数据包时，计算所述新待识别的数据包的第一相似矩阵；计算所述新待识别的数据包与所述多个待识别的数据包的第二相似矩阵；使用所述第一相似矩阵和所述第二相似矩阵更新所述数据包特征相似矩阵，

其中，所述第一相似矩阵包括任意两个所述新待识别的数据包之间的第一相似度及所述第一相似度与所述预设阈值的大小关系，所述第二相似矩阵包括每个所述新待识别的数据包与每个所述待识别的数据包之间的第二相似度及所述第二相似度与所述预设阈值的大小关系。