[发明专利]文件恶意评分方法、装置、设备及计算机可读存储介质

权利要求书

1.一种文件恶意评分方法，其特征在于，所述文件恶意评分方法包括以下步骤：

获取被检测文件对应的文件流水数据；

基于所述文件流水数据以及第一预设算法，确定所述被检测文件的文件关联图；

基于所述文件关联图以及第二预设算法，确定所述被检测文件中未知文件的文件恶意评分；

所述第二预设算法包括社团发现算法以及扩散算法，所述基于所述文件关联图以及第二预设算法，确定所述被检测文件中未知文件的文件恶意评分的步骤包括：

基于所述文件关联图以及所述社团发现算法，确定所述被检测文件中未知文件的第一恶意评分；

基于所述文件关联图以及所述扩散算法，确定所述被检测文件中未知文件的第二恶意评分；

基于所述第一恶意评分以及所述第二恶意评分，确定所述被检测文件中未知文件的文件恶意评分。

2.如权利要求1所述的文件恶意评分方法，其特征在于，所述基于所述第一恶意评分以及所述第二恶意评分，确定所述被检测文件中未知文件的文件恶意评分的步骤包括：

基于所述第一恶意评分以及所述第二恶意评分以及第三预设算法，确定所述被检测文件中未知文件的文件恶意评分。

3.如权利要求1所述的文件恶意评分方法，其特征在于，所述基于所述文件关联图以及所述社团发现算法，确定所述被检测文件中未知文件的第一恶意评分的步骤包括：

基于所述文件关联图以及所述社团发现算法，将被检测文件划分成文件社团，以得到多个文件社团；

基于各个文件社团，确定各个文件社团的社团恶意评分，并将所述社团恶意评分作为所述被检测文件中未知文件的第一恶意评分，其中，各个文件社团中包含所述未知文件的子未知文件。

4.如权利要求3所述的文件恶意评分方法，其特征在于，所述基于各个文件社团，确定各个文件社团的社团恶意评分，并将所述社团恶意评分作为所述被检测文件中未知文件的第一恶意评分的步骤包括：

基于各个文件社团，确定各个文件社团中的恶意文件数量；

基于所恶意文件数量，确定各个文件社团的社团恶意评分，并将所述社团恶意评分作为所述被检测文件中未知文件的第一恶意评分。

5.如权利要求1至4任一项所述的文件恶意评分方法，其特征在于，所述基于所述文件流水数据以及第一预设算法，确定所述被检测文件的文件关联图的步骤包括：

获取所述文件流水数据中的文件标识和主机标识；

基于所述文件标识以及所述主机标识，确定所述被检测文件对应的主机列表；

基于所述主机列表以及所述第一预设算法，确定所述被检测文件的文件关联图。

6.如权利要求5所述的文件恶意评分方法，其特征在于，所述基于所述主机列表以及所述第一预设算法，确定所述被检测文件的文件关联图的步骤包括：

基于所述主机列表以及所述第一预设算法，将主机列表相似的所述被检测文件分配至文件集合，得到多个文件集合；

确定多个文件集合为被检测文件的文件关联图。

7.一种文件恶意评分装置，其特征在于，所述文件恶意评分装置包括：

获取模块，用于获取被检测文件对应的文件流水数据；

第一确定模块，用于基于所述文件流水数据以及第一预设算法，确定所述被检测文件的文件关联图；

第二确定模块，用于基于所述文件关联图以及第二预设算法，确定所述被检测文件中未知文件的文件恶意评分；

所述第二确定模块，还用于：

基于所述文件关联图以及社团发现算法，确定所述被检测文件中未知文件的第一恶意评分；

基于所述文件关联图以及扩散算法，确定所述被检测文件中未知文件的第二恶意评分；

基于所述第一恶意评分以及所述第二恶意评分，确定所述被检测文件中未知文件的文件恶意评分。

8.一种文件恶意评分设备，其特征在于，所述文件恶意评分设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的文件恶意评分程序，所述文件恶意评分程序被所述处理器执行时实现如权利要求1至6中任一项所述的文件恶意评分方法的步骤。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有文件恶意评分程序，所述文件恶意评分程序被处理器执行时实现如权利要求1至6中任一项所述的文件恶意评分方法的步骤。