买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：华能信息技术有限公司;中国华能集团有限公司北京招标分公司

摘要：本发明公开了一种可疑样本分析处理方法及系统，涉及样本分析技术领域，包括获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本。建立对应的特征检验规则，提高了样本检测的准确性。根据行为特征的维度适应性选择不同的搜索起点和策略，得到准确的特征标识，用于检测未知样本，特征准确性得到提升。

主权项：1.一种可疑样本分析处理方法，应用于沙箱中，其特征在于，所述方法包括：获取多种恶意样本，将恶意样本分别放入沙箱中运行；获取恶意样本在沙箱中的所有行为特征并将其作为初始特征集；基于初始特征集确定搜索起点和搜索策略，并根据搜索起点和搜索策略进行特征选择以得到有效特征子集；根据有效特征子集建立特征检验规则，获取待检测样本，并将待检测样本放入沙箱中运行，根据特征检验规则检验待检测样本行为特征以判断待检测样本是否为恶意样本；基于初始特征集确定搜索起点和搜索策略，包括：根据初始特征集内特征数量确定特征维度，基于特征维度确定特征子集数量，基于特征子集数量确定搜索起点和搜索策略；基于特征子集数量确定搜索起点和搜索策略，包括：若特征子集数量不超过第一阈值，则搜索起点为全集或空集，在搜索起点基础上通过第一搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第一阈值且不超过第二阈值，则根据第一特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第二搜索策略进行特征选择，以得到有效特征子集；若特征子集数量超过第二阈值，则根据第二特征子集超出量确定部分集，将部分集作为搜索起点，在搜索起点基础上通过第三搜索策略进行特征选择，以得到有效特征子集；其中，第一阈值小于第二阈值，第一特征子集超出量为特征子集数量与第一阈值之差，第二特征子集超出量为特征子集数量与第二阈值之差，全集为所有行为特征，空集为无行为特征；第一搜索策略包括：以空集或全集为搜索起点，根据第一评判规则进行特征的添加或减少；当满足第一停止条件时，停止搜索，得到有效特征子集；其中，第一停止条件为特征子集全部搜索完成；第二搜索策略包括：进行第一种搜索，包括：根据特征子集得到特征的属性，基于特征的属性确定特征的性能量，基于特征的性能量确定第一搜索次数，并将第一搜索次数作为第二停止条件；根据第一搜索次数和特征子集确定每次搜索添加的特征数量，并依次进行搜索；每次搜索根据第二评判规则添加对应数量的特征，基于特征维度和添加的特征数量确定筛选率，基于筛选率将添加的特征进行筛选，筛选后添加到部分集中；当满足第二停止条件时，搜索停止，得到第一有效特征子集并将其作为有效特征子集；第三搜索策略包括：分别进行第一种搜索和第二种搜索；第二种搜索包括：获取特征的信息熵和特征属性，从特征属性中筛选出与信息熵相关联的属性，并得到校对量，基于校对量实时更新信息熵，根据特征的信息熵设置第二搜索次数，并将第二搜索次数作为第三终止条件；基于特征维度确定随机份数，在部分集中随机选择一个随机份数作为搜索起点，通过第三评判规则以随机份数为单位随机增加特征；当满足第三停止条件时，搜索停止，得到第二有效特征子集；对比第一有效特征子集和第二有效特征子集得到特征差集，将特征差集添加到第一有效特征子集中，并将其作为有效特征子集；获取沙箱关键行为，对沙箱关键行为进行评分得到沙箱评分，根据沙箱评分动态更新第一阈值和第二阈值。

全文数据：

权利要求：

百度查询： 华能信息技术有限公司 中国华能集团有限公司北京招标分公司 一种可疑样本分析处理方法及系统