[发明专利]基于行为片段共享的恶意软件特征聚类分析方法及系统

摘要

本发明公开了一种基于行为片段共享的恶意软件特征聚类分析方法及系统，方法包括：布置采集分析节点，建立分布式哈希表模块，将采集的恶意软件样本的行为分割为行为片段并存储至分布式哈希表；统计行为片段的全局特性并返回至采集分析节点，采集分析节点构建恶意软件样本的特性向量并进行聚类，提取聚类的特征及属性作为恶意软件的综合分析结果输出；系统包括多个采集分析节点，采集分析节点包括行为片段分割模块、分布式哈希表模块、行为片段协同共享模块、恶意软件样本表征模块、恶意软件样本本地聚类模块、恶意软件样本本地分析模块。本发明具有分析准确性高、分析性能强、可扩展性好的优点。

主权项

一种基于行为片段共享的恶意软件特征聚类分析方法，其特征在于实施步骤如下：1)在网络中分别布置地理位置分散的采集分析节点，每一个采集分析节点负责一片网络区域中恶意软件样本的采集和分析，在采集分析节点中建立用于构建分布式哈希表的分布式哈希表模块；2)所述采集分析节点将采集的恶意软件样本的行为分割为多个行为片段；3)所述采集分析节点获取行为片段的本地统计特性，将行为片段及其本地统计特性共享给分布式哈希表模块，通过分布式哈希表模块将行为片段及其本地统计特性存储至分布式哈希表；通过不同的采集分析节点负责不同行为片段的全局特性统计，所述采集分析节点分别通过分布式哈希表中存储的所述行为片段的所有本地统计特性统计获取所负责行为片段的全局特性，并向各个发布所述行为片段的采集分析节点返回带有全局特性的行为片段集合；4)在收到带有全局特性的行为片段集合后所述采集分析节点基于行为片段的全局特性计算行为片段集合中各个行为片段的权值，并根据恶意软件样本中各个行为片段的权值构建所述恶意软件样本的特性向量；5)所述采集分析节点根据恶意软件样本的特性向量之间的距离对各个恶意软件样本进行聚类得到聚类集合，分析聚类集合中的每一个聚类，提取该聚类的特征及属性作为所述恶意软件的综合分析结果输出。