[发明专利]一种白样本数据库的处理方法及装置

权利要求书

1.一种白样本数据库的处理方法，其特征在于，所述方法包括：

获取恶意样本数据库和白样本数据库；

利用分析模型对所述恶意样本数据库进行解析，得到恶意样本的向量特征；

利用所述分析模型对所述白样本数据库进行解析，得到白样本的向量特征；

对比所述恶意样本的向量特征和所述白样本的向量特征，得到目标特征值；

根据所述目标特征值对待识别样本数据进行识别，根据识别结果更新所述白样本数据库。

2.根据权利要求1所述的方法，其特征在于，所述分析模型包括：静态分析模型和数据行为分析模型。

3.根据权利要求2所述的方法，其特征在于，所述利用分析模型对所述恶意样本数据库进行解析，得到恶意样本的向量特征库具体为：

利用所述静态分析模型对所述恶意样本数据库中的样本数据进行解析，得到恶意样本数据的PE头信息、节点数量、数据运行依赖信息和字符串信息；

并且，利用所述数据行为分析模型对所述恶意样本数据库中的样本数据进行解析，得到恶意样本数据的进程数量、API数量和引用字符串信息；

根据所述恶意样本数据的PE头信息、节点数量、数据运行依赖信息、字符串信息、进程数量、API数量和引用字符串信息中的一个或多个，得到所述恶意样本的向量特征库。

4.根据权利要求2所述的方法，其特征在于，所述利用分析模型对所述白样本数据库进行解析，得到白样本的向量特征库具体为：

利用所述静态分析模型对所述白样本数据库中的样本数据进行解析，得到白样本数据的PE头信息、节点数量、数据运行依赖信息和字符串信息；

并且，利用所述数据行为分析模型对所述白样本数据库中的样本数据进行解析，得到白样本数据的进程数量、API数量和引用字符串信息；

根据所述白样本数据的PE头信息、节点数量、数据运行依赖信息、字符串信息、进程数量、API数量和引用字符串信息中的一个或多个，得到所述白样本的向量特征库。

5.根据权利要求1所述的方法，其特征在于，所述对比所述恶意样本的向量特征库和所述白样本的向量特征库，得到目标特征值具体为：

确定所述恶意样本的向量特征和所述白样本的向量特征是否相同；

如果不相同，则根据所述白样本的向量特征得到目标特征值。

6.根据权利要求1所述的方法，其特征在于，根据所述目标特征值对待识别样本数据进行识别，根据识别结果更新所述白样本数据库具体为：

根据所述目标特征值对待识别样本数据进行特征识别，确定所述待识别样本数据的特征值与所述目标特征值的相似度是否大于阈值；

如果大于，则将待识别样本数据更新入所述白样本数据库。

7.一种白样本数据库的处理装置，其特征在于，所述装置包括：

获取单元，用于获取恶意样本数据库和白样本数据库；

解析单元，用于利用分析模型对所述恶意样本数据库进行解析，得到恶意样本的向量特征；

所述解析单元，还用于利用所述分析模型对所述白样本数据库进行解析，得到白样本的向量特征；

对比单元，用于对比所述恶意样本的向量特征和所述白样本的向量特征，得到目标特征值；

更新单元，用于根据所述目标特征值对待识别样本数据进行识别，根据识别结果更新所述白样本数据库。

8.根据权利要求7所述的装置，其特征在于，所述分析模型包括：静态分析模型和数据行为分析模型。