[发明专利]基于云模式的恶意代码类别检测方法

摘要

本发明公开了一种基于云模式的恶意代码类别检测方法，包括以下步骤：云端对恶意代码家族进行处理分析，以生成初始归类数据库，并为初始归类数据库中每一类恶意代码家族生成代表特征集，在客户端拦截程序的访问或执行操作，并计算被拦截程序的唯一标识值，判断唯一标识值是否存在于本地数据库中，若不是则提取被拦截程序的特定特征文档，客户端上传被拦截程序的唯一标识值和特定特征文档到云端，判断唯一标识值是否存在于云端数据库中或特征文档是否属于某一个分类，并向客户端返回最终判断结果，以及将唯一标识值和最终判断结果分别写入云端和客户端数据库。本发明能够减缓特征库的急剧膨胀，减少可疑程序的上传，并提高云安全的防杀效率。

主权项

一种基于云模式的恶意代码类别检测方法，其特征在于，包括以下步骤：(1)云端对恶意代码家族进行处理分析，以生成初始归类数据库，并为所述初始归类数据库中每一类恶意代码家族生成代表特征集；(2)在客户端拦截程序的访问或执行操作，并计算被拦截程序的唯一标识值；(3)判断所述唯一标识值是否存在于本地数据库中，若是则直接返回最终判断结果，过程结束；否则，提取所述被拦截程序的特定特征文档，并转入步骤(4)；(4)客户端上传所述被拦截程序的唯一标识值和特定特征文档到云端；(5)判断所述唯一标识值是否存在于云端数据库中，若是则直接向客户端返回最终判断结果，并转入步骤(10)，否则将所述特定特征文档转换为特征集，并转入步骤(6)；(6)利用归类算法判断所述特征集是否属于所述初始归类数据库中的所述代表特征集，若是则将所述特征集与所述代表特征集融合，更新所述代表特征集，并向客户端返回最终判断结果，然后转入步骤(9)；否则通知客户端上传所述被拦截的程序，并转入步骤(7)；(7)客户端上传所述被拦截的程序到云端进行分析检测；(8)云端向客户端返回最终判断结果，并保存所述被拦截的程序的特征集，然后转入步骤(9)；(9)云端将所述被拦截的程序的唯一标识值和最终判断结果写入云端数据库；(10)客户端将所述被拦截的程序的唯一标识值和最终判断结果写入客户端数据库。