[发明专利]一种基于模糊K近邻的Windows恶意软件识别方法

摘要

本发明公开了一种基于模糊K近邻的Windows恶意软件识别方法。收集足够量的已知恶意软件和良性软件组成样本库。使用反汇编技术提取样本库中所有样本的PE结构信息。再使用模糊集理论计算样本的模糊区间和隶属度，从而得到样本的模糊特征向量。对于输入的待检测样本，使用相同的方法得到其模糊特征向量。通过最大模糊区间匹配原则找到具有最大模糊区间匹配度的集合，再从该集合中找到K个与待检测样本具有最小欧式距离的样本。并根据距离按从小到大进行排序，使用排序下标的倒数作为投票权重。统计各个类别的投票权重之和，使用最大权重之和的类别作为预测标签。该方法具有简单、高效的优点，在保障准确率的基础上很好地提高了检测效率。

主权项

1.一种基于模糊K近邻的Windows恶意软件识别方法，其特征在于，操作步骤如下：步骤一、收集足够量的恶意软件集合M和足够量的良性软件集合B，组成已知样本库U，即U={M，B}；步骤二、提取样本库U中所有样本的PE结构信息；步骤三、使用模糊集理论，计算每一维度的模糊区间和隶属度，最终，得到样本库U中每个样本的模糊特征向量；步骤四、输入待检测样本，提取待检测样本的PE结构信息，根据步骤三的方法计算待检测样本的模糊特征向量；步骤五、通过最大模糊区间匹配，从样本库U中找到与待检测样本模糊区间最匹配的L个样本；步骤六、计算从步骤五中找到的L个样本与待检测样本的欧式距离，并找到距离最近的K个样本，其中，L≥K；步骤七、对找到的K个最近邻样本与待检测样本的欧式距离按从小到大进行排序，并使用下标倒数作为投票权重；步骤八、统计每个类别的投票权重之和，使用具有最大投票权重之和的类别作为预测标签。