[发明专利]一种识别恶意文档的方法及装置

权利要求书

1.一种识别恶意文档的方法，其特征在于，包括：

对待识别文档进行解析得到所述待识别文档的文档异常信息、关键字信息和文档应用程序编程接口调用信息；

分别根据所述文档异常信息提取得到所述待识别文档的异常特征、根据所述关键字信息提取得到所述待识别文档的结构特征、以及根据所述文档应用程序编程接口调用信息提取得到所述待识别文档的行为特征；

将所述异常特征、结构特征和行为特征进行组合处理得到所述待识别文档的混合特征向量；

将所述混合特征向量输入经过训练的恶意文档检测模型，识别所述待识别文档是否为恶意文档。

2.根据权利要求1所述的方法，其特征在于，所述根据所述文档异常信息提取得到所述待识别文档的异常特征，包括：

从所述文档异常信息中，提取与预设的文档异常特征相关的信息，得到所述待识别文档的异常特征；其中，所述预设的文档异常特征基于对恶意样本文档和正常样本文档进行特征统计而确定。

3.根据权利要求1或2所述的方法，其特征在于，所述根据所述关键字信息提取得到所述待识别文档的结构特征，包括：

根据所述关键字信息，统计预设的特征关键字集合中的每个关键字在所述关键字信息中出现的次数，得到所述待识别文档的结构特征；其中，所述预设的特征关键字集合，是根据样本文档中的关键字在所述样本文档中出现的期望值对所述样本文档中的关键字进行聚类处理得到的，用于表征文档结构特征的关键字集合。

4.根据权利要求1或2所述的方法，其特征在于，所述根据所述文档应用程序编程接口调用信息提取得到所述待识别文档的行为特征，包括：

根据所述文档应用程序编程接口调用信息，统计预设的特征应用程序编程接口调用函数集合中的每个应用程序编程接口调用函数被调用的次数，得到所述待识别文档的行为特征；其中，所述预设的特征应用程序编程接口调用函数集合，是根据样本文档中的各个应用程序编程接口调用函数的出现比率对所述样本文档中的各个应用程序编程接口调用函数进行聚类处理得到的，用于表征文档行为特征的应用程序编程接口调用函数集合。

5.根据权利要求3所述的方法，其特征在于，根据样本文档中的关键字在所述样本文档中出现的期望值对所述样本文档中的关键字进行聚类处理得到特征关键字集合，包括：

根据样本文档集合的关键字集合中的每个关键字在所述样本文档集合中出现的概率和出现次数，分别计算得到所述每个关键字在所述样本文档集合中出现的期望值；其中所述样本文档集合包括正常样本文档集合和恶意样本文档集合；

根据所述每个关键字在所述样本文档集合中出现的期望值，分别计算得到所述每个关键字的表征力；其中，所述表征力包括良性表征力和恶意表征力，所述良性表征力用于表示关键字所在的文档为正常文档的概率，所述恶意表征力用于表示关键字所在的文档为恶意文档的概率；

根据所述每个关键字的表征力，对所述关键字集合中的关键字进行聚类处理，得到特征关键字集合；其中，所述特征关键字集合包括正常文档特征关键字集合和恶意文档特征关键字集合。

6.根据权利要求4所述的方法，其特征在于，根据样本文档中的各个应用程序编程接口调用函数的出现比率对所述样本文档中的各个应用程序编程接口调用函数进行聚类处理得到特征应用程序编程接口调用函数集合，包括：

分别计算得到恶意样本文档和正常样本文档中出现的各个应用程序编程接口调用函数在恶意样本文档和正常样本文档中的出现比率的差异值；

根据所述各个应用程序编程接口调用函数在恶意样本文档和正常样本文档中的出现比率的差异值，对所述恶意样本文档和正常样本文档中出现的各个应用程序编程接口调用函数进行聚类处理，得特征应用程序编程接口调用函数集合。