CN101236584B

CN101236584B - 检测入侵代码的设备及其方法

Info

Publication number: CN101236584B
Application number: CN2007101540789A
Authority: CN
Inventors: 安兑臻; 朴兑濬; 郑泰哲
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2007-01-31
Filing date: 2007-09-13
Publication date: 2010-10-13
Anticipated expiration: 2027-09-13
Also published as: KR101303643B1; EP1953664A3; EP1953664A2; KR20080071862A; CN101236584A; US8205256B2; JP4699438B2; US20080184369A1; JP2008192127A

Abstract

提供一种检测入侵代码的设备和方法。所述用于检测入侵代码的设备包括：设置值输入单元，输入对每一组都不同的设置值；免疫数据库产生单元，基于设置值产生免疫数据库；和入侵代码确定单元，基于产生的免疫数据库确定数据是否对应于入侵代码。

Description

检测入侵代码的设备及其方法

本申请要求于2007年1月31日在韩国知识产权局提交的第10-2007-0010300号韩国专利申请的优先权，该公开全部包含于此，以资参考。

技术领域

根据本发明的方法和设备涉及入侵代码检测，更具体的说，涉及为每个计算机建立各自的特征，并使用不同的免疫数据库检测数据是否对应于入侵代码。

背景技术

已经开发了使用计算机的有线/无线通信，诸如病毒、蠕虫、木马、垃圾邮件、黑客工具等的恶意代码已经被广泛散发，因此需要用于防止和检测这种恶意代码的散播的技术。

检测恶意代码的现有技术将与恶意代码相应的签名存储为数据库，并通过检测存储在数据库中的签名来检测被包括在数据中的恶意代码。

然而，因为当新类型或者变种的恶意代码被散布到多个计算机时，检测恶意代码的现有技术不能检测出存在的全部恶意代码，所以恶意代码或者被计算机统一检测出来，或者统一使计算机感染。

具体来说，当计算机被散布的恶意代码感染并且感染计算机的恶意代码被散布到第二计算机时，第二计算机也被感染。因此，与恶意代码接触的全部计算机被相同地感染。另一方面，如果在特定计算机中检测出了该恶意代码，则在所有计算机中可检测出该恶意代码。

如上所述，现有的检测恶意代码技术具有这样的问题，即，因为检测恶意代码的数据库被相同地配置在全部计算机中，所以在接触可检的测恶意代码时，在全部计算机中相同地检测出恶意代码，当接触不可检测的恶意代码时，全部计算机相同地被感染。

因此，需要一种可防止恶意代码的统一检测和由恶意代码引起的统一感染，并具有对部分系统中的恶意代码的耐受性(tolerant)的设备。

发明内容

本发明提供一种检测入侵代码的设备和方法，所述设备和方法可异化并产生能够确定数据是否对应于入侵代码的免疫数据库。

本发明还提供了一种检测入侵代码的设备和方法，所述设备和方法可使用不同的免疫数据库防止由于新类型或者变种的恶意代码引起的统一损害。

本发明还提供了一种检测入侵代码的设备和方法，所述设备和方法可从具有对新类型或者变种的恶意代码的耐受性的系统获得针对新类型或者变种的恶意代码的诊断方法。

根据本发明的一方面，提供了一种检测入侵代码的设备，所述设备包括：设置值输入单元，输入对至少一个计算机的每一组都不同的设置值；免疫数据库产生单元，基于设置值产生免疫数据库；和入侵代码确定单元，基于产生的免疫数据库确定数据是否对应于入侵代码。

所述输入到设置值输入单元的设置值可包括：组特征关键词，划分组；驻留代码列表，对应于安全代码；和随机池产生因子，产生免疫数据库的池。

所述免疫数据库产生单元可包括：特征提取单元，使用组特征关键词提取驻留代码的特征；池特征产生单元，基于组特征关键词和随机池产生因子产生随机池特征；近似度值计算单元，计算提取的驻留代码的特征和产生的随机池特征的近似度值；和免疫数据库产生管理单元，将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库。

所述池特征产生单元基于组特征关键词的长度和包括在随机池产生因子中的随机池大小来产生随机池特征。

所述入侵代码确定单元可包括：数据特征提取单元，使用组特征关键词提取数据的特征；数据近似度值计算单元，计算提取的数据的特征和免疫数据库的特征的近似度值；入侵代码确定管理单元，当计算的近似度值大于预定阈值时，将所述数据确定为入侵代码。

所述入侵代码确定单元还可包括：数据收集单元，收集数据以确定入侵代码；和数据特征提取单元，提取每一收集的数据的特征。

所述入侵代码确定单元基于产生的免疫数据库确定任何内部存储的执行文件数据是否对应于入侵代码。

所述入侵代码确定单元基于产生的免疫数据库还确定实时输入的数据是否对应于入侵代码。

根据本发明的另一方面，提供一种检测入侵代码的方法，所述方法包括：输入对每一组都不同的设置值；基于设置值产生免疫数据库；和基于产生的免疫数据库确定数据是否对应于入侵代码。

所述设置值可包括：组特征关键词，划分组；驻留代码列表，对应于安全代码；和随机池产生因子，产生免疫数据库的池。

所述产生免疫数据库的步骤可包括：使用组特征关键词提取驻留代码的特征；基于组特征关键词和随机池产生因子产生随机池特征；计算提取的驻留代码的特征和产生的随机池特征的近似度值；和将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库。

附图说明

通过以下结合附图对本发明特定示例性实施例的详细描述，本发明的以上和其他方面将变得更加清楚并且更容易被理解，其中：

图1是示出根据本发明示例性实施例的检测入侵代码的设备的配置的框图；

图2是示出图1的免疫数据库产生单元的配置的框图；

图3是示出图1的入侵代码确定单元的配置的框图；

图4是示出根据本发明示例性实施例的用于不同地建立组特征关键词(key)的组的示例的示图；

图5是示出根据本发明示例性实施例的从在每个计算机中建立的驻留代码列表中提取特征的示例的示图；

图6是示出根据本发明示例性实施例的产生随机池特征的示例的示图；

图7是示出根据本发明示例性实施例的从在每个计算机中收集的待定代码列表中提取特征的示例的示图；

图8是示出根据本发明示例性实施例的检测入侵代码的方法的操作的流程图；

图9是示出图8的基于设置值产生免疫数据库的具体操作的流程图；和

图10是示出图8的确定数据是否与入侵代码对应的具体操作的流程图。

具体实施方式

现在将详细描述本发明示例性实施例，附图中示出了本发明的示例，其中相同的标号始终指示相同的组件。以下将参照附图描述所述示例性实施例以解释本发明。

图1是示出根据本发明示例性实施例的检测入侵代码的设备的配置的框图。

检测入侵代码的设备包括：设置值输入单元110、免疫数据库产生单元120和入侵代码确定单元130。

在设置值输入单元110输入对至少一台计算机的各个组都不同的设置值。

设置值包括：分组的组特征关键词、与安全代码对应的驻留代码列表和产生免疫数据库的池的随机池产生因子。

组特征关键词被用于提取产生免疫数据库的驻留代码的特征，或者提取用于确定数据是否对应于入侵代码的数据的特征。具体来说，从驻留代码中提取对应于组特征关键词条件的特征，并且从用于确定数据是否对应于入侵代码的数据提取对应于组特征关键词条件的特征。

组特征关键词可对应于在处理二进制文件或者原始二进制执行文件的文件中以预定概率出现的式样(pattern)，例如，所述概率范围从大约1/10到大约1/10000，但不限于此。具体来说，组特征关键词可以对应于以下式样，所述式样对从具有预定长度的二进制序列中以预定概率获得的二进制序列进行限制。

例如，当组特征关键词对应于XXYX[YF]XX[LMIV]时，要求X包括全部式样中的任何一种，要求[YF]包括Y式样和F式样的任何一个，和要求[LMIV]包括L式样、M式样、I式样和V式样中的任何一个。

每个式样对应于根据预定单位和预定规则的二进制值的映射。其中执行与式样的映射的二进制值可被改变，而其中执行与二进制值的映射的式样也可被改变。

例如，但不限于，如果根据预定单位和预定规则每个式样包括6比特，则组特征关键词可包括48比特，并且可由制造商确定Y式样、F式样、L式样、M式样、I式样和V式样的配置。

驻留代码列表可对应于用户安装在计算机内的程序或者在执行代码中被确定为安全的代码列表。

驻留代码列表还可由用户手动地建立，或者通过使用用于检索执行文件或者检查安全性的计算机病毒软件来建立。

如上所述，因为可在各个计算机上改变程序和执行文件，所以驻留代码列表可被不同地建立，以对应于各个计算机的特征。

随机池产生因子可包括：建立阈值和随机池大小的因子。所述阈值被用于产生免疫数据库或者通过使用产生的免疫数据库确定入侵代码。

免疫数据库产生单元120基于设置值输入单元110的设置值产生免疫数据库140。

基于组特征关键词和随机池产生因子，免疫数据库产生单元120可从包括在驻留代码列表中的每个驻留代码提取特征，并产生随机池特征。

可使用组特征关键词提取驻留代码的特征。

基于组特征关键词和包括在随机池产生因子中的随机池大小可产生随机池特征。

免疫数据库产生单元120计算驻留代码的特征和随机池特征的近似度值，并且将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库140。

近似度值是指两个预定特征之间的区别度或者近似度。具体来说，近似度值的计算数值地表达了两个特征的区别度或者近似度，并且是指数值地表达计算的近似度值的两个特征的区别度或者近似度。

可使用Euclidean距离法、调和平均数法、匹配(Matching)系数法、掷骰子(Dice)系数法、余弦近似度法、Levenshtein距离法、Sellers算法、Smith-Waterman距离法、块(Block)距离法等来计算近似度值。本发明此示例性实施例中的计算近似度值的方法不限于上述方法，并且可以使用所有计算近似度值的方法。

以下对作为示例的使用块距离方法的两个字符串的近似度值进行描述，但不限于此。

当字符串q是“ABCDEFGH”，并且字符串r是“BCDEFGHG”时，使用块距离函数计算两个字符串q和r的各个元素间的距离值，随后，通过将计算的距离值进行相加来计算两个字符串之间的近似度值。具体来说，使用块距离函数计算q的元素A与r的元素B之间的距离值，以及q的元素B和r的元素C之间的距离值。对q的元素H和r的元素G执行计算距离值的处理，并且通过将所有计算的距离值相加来计算两个字符串的近似度值。

入侵代码确定单元130基于免疫数据库产生单元120产生的免疫数据库140确定数据是否对应于入侵代码。

入侵代码确定单元130可收集用于确定数据是否对应于入侵代码的数据，并且收集的数据可以是存储在计算机中的任何执行文件数据，存储在计算机中的任何数据和实时输入计算机的任何数据。

例如，实时输入计算机的数据可对应于使用有线/无线网络共享下载的文件、使用超文本传输协议/文件传输协议(HTTP/FTP)下载的文件、使用电子邮件下载的文件、使用对等(P2P)技术下载的文件、从存储设备下载的文件等。

入侵代码确定单元130从收集的数据中提取特征，计算提取的特征和免疫数据库140的特征的近似度值，并且在计算的近似度值大于预定阈值时将数据确定为入侵代码。

在这种情况下，入侵代码确定单元130可基于组特征关键词从收集的数据中提取特征。

在收集的数据是压缩文件的情况下，入侵代码确定单元130可在解压缩文件后提取特征，并确定该数据是否对应于入侵代码。

图2是示出图1的免疫数据库产生单元120的配置的框图。

免疫数据库产生单元120包括：特征提取单元210、池特征产生单元240、近似度值计算单元220和免疫数据库产生管理单元230。

特征提取单元210使用组特征关键词提取包括在驻留代码列表中的每个驻留代码的特征。

特征提取单元210可从驻留代码读取对应于组特征关键词的比特数，并提取对应于组特征关键词条件的特征。

池特征产生单元240基于组特征关键词和随机池产生因子产生随机池特征。

池特征产生单元240可基于组特征关键词的长度和包括在随机池产生因子中的随机池大小产生随机池特征。

例如，当组特征关键词的长度是48比特并且随机池大小是1％时，池特征产生单元240随机地产生2⁴⁸×0.01个随机池特征。

近似度值计算单元220计算驻留代码的特征和随机池特征的近似度值。

免疫数据库产生管理单元230将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库。

免疫数据库产生管理单元230可产生免疫数据库，所述免疫数据库从由池特征产生单元240产生的随机池特征中选择确定驻留代码和入侵代码的特征。

因此，在对从驻留代码中提取的特征计算近似度值时，免疫数据库产生管理单元230产生的免疫数据库的特征不变地具有小于或者等于阈值的计算的近似度值。在对除了驻留代码之外的代码计算近似度值时，免疫数据库的特征还具有计算的近似度值的大于阈值的可能性。

图3示出了图1的入侵代码确定单元130的配置的框图。

入侵代码确定单元130包括：数据收集单元310、数据特征提取单元320、数据近似度值计算单元330和入侵代码确定管理单元340。

数据收集单元310收集数据以确定数据是否对应于入侵代码的数据。

在这种情况下，数据收集单元310可收集存储在计算机中的全部执行文件数据、存储在计算机中的全部数据和实时输入计算机的数据中的任何一种。

实时输入计算机的数据可对应于使用有线/无线网络共享下载的文件、使用HTTP/FTP下载的文件、使用电子邮件下载的文件、使用P2P技术下载的文件、从存储设备下载的文件等。

数据特征提取单元320使用组特征关键词从收集的数据中提取特征。具体来说，数据特征提取单元320从收集的数据中提取对应于组特征关键词条件的特征。

数据近似度值计算单元330计算从收集的数据中提取的特征和免疫数据库的特征的近似度值。

如果计算的近似度值大于预定的阈值，则入侵代码确定管理单元340确定该数据是入侵代码。具体来说，如果计算的近似度值小于或者等于预定的阈值，则入侵代码确定管理单元340确定该数据是驻留代码。

参照图4到图7对图1所示的根据本发明示例性实施例的检测入侵代码的设备的操作进行详细描述。

图4是示出根据本发明示例性实施例的用于不同地建立组特征关键词的组的示例的示图。

组410到450中的每一组中设置了不同的组特征关键词。具体来说，为每个组建立不同的组特征关键词，从而可为每个组产生用于确定驻留代码和入侵代码的唯一免疫数据库。

因为包括在组450中的第一计算机460到第四计算机490的每一个可包括安装在计算机中的不同的程序，所以对从460到490的每个计算机来说，驻留代码列表可以不同。

此外，对每个计算机可不同地建立随机池产生因子。例如，可为第一计算机460建立阈值2300和10％的随机池大小，可为第二计算机470建立阈值2350和1％的随机池大小，可为第三计算机480建立阈值2400和5％的随机池大小和可为第四计算机490建立阈值2500和0.5％的随机池大小。

具体来说，可不同地建立设置值，从而可为图4中所示的每个计算机组和包括在计算机组中的每个计算机产生不同的免疫数据库。

图5是示出根据本发明示例性实施例从在每个计算机中建立的驻留代码列表中提取特征的示例的示图。

从包括在每个计算机中的驻留代码列表中收集包括在驻留代码列表中的驻留代码，从收集的驻留代码中提取特征。

每个计算机可通过使用为每个计算机组建立的组特征关键词从驻留代码中提取特征。

具体来说，每个计算机从驻留代码中读取对应于组特征关键词比特的比特，确定式样是否对应于建立的组特征关键词条件，当式样对应于组特征关键词条件时将对应的式样提取为特征。相反，当式样与组特征关键词条件不同时，相应样式被移动一比特，接着每个计算机确定该式样是否对应于组特征关键词条件。

使用上述处理，可从驻留代码中提取对应于组特征关键词条件的特征。

图6是示出根据本发明示例性实施例的产生随机池特征的示例的示图。

使用在每个计算机中建立的组特征关键词的长度和随机池大小来产生随机池特征。

例如，当在第一计算机中建立的组特征关键词的长度是48比特，并且随机池大小是10％时，随机产生的池特征的数量是2⁴⁸×0.1。当在第二计算机中建立的组特征关键词的长度是48比特，并且随机池大小是1％时，随机产生的池特征的数量是2⁴⁸×0.01。

产生的随机池特征中的部分特征可以被选为免疫数据库的特征。

具体来说，计算提取的驻留代码的特征和随机池特征的近似度值，并且将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库。

如上所述，因为为每个组建立的组特征关键词不同，所以为各组产生的免疫数据库也不同。此外，因为包括在组中的每个计算机的驻留代码列表和随机池产生因子可不同地被建立，所以可为包括在同一组中的每个计算机产生不同的免疫数据库。

由此，因为每个计算机中产生的免疫数据库不同，所以每个计算机可对驻留代码和入侵代码做出不同的确定。

此外，因为每个计算机中确定的驻留代码和入侵代码不同，所以恶意代码不会感染特定组中的全部计算机，而仅感染该组中全部计算机的一部分。因此，可防止由于新类型或者变种的恶意代码导致的统一损害，并且可从其中具有对新类型或者变种的恶意代码的耐受性的计算机中获得针对新类型或者变种的恶意代码的诊断方法。具体来说，可通过从受损计算机定位恶意代码的类型和通过从其中具有对新类型或者变种的恶意代码的耐受性的计算机中获得针对恶意代码的免疫式样来获得针对新类型或者变种的恶意代码的诊断方法。

图7是示出根据本发明示例性实施例的从在每个计算机中收集的待定代码列表提取特征的示例的示图。

每个计算机从待定代码列表中收集存储在计算机中的执行文件数据或者存储在计算机中的全部数据，以确定代码列表中的数据是否对应于入侵代码。

从收集的数据(具体来说，即，包括在待定代码列表中的待定代码)提取特征。可使用在计算机中建立的组特征关键词来提取待定代码的特征。

计算提取的特征和免疫数据库的特征的近似度值，以确定待定代码是否对应于入侵代码。

具体来说，计算从待定代码(例如，第一执行文件)提取的特征和免疫数据库的特征的近似度值。随后将计算的近似度值和在计算机中建立的阈值进行比较。

当全部计算的近似度值小于或者等于阈值时，待定代码被确定为驻留代码。具体来说，当计算的近似度值中的任何近似度值大于阈值时，待定代码被确定为入侵代码。

对包括在待定代码列表中的全部待定代码执行以下处理：从待定代码中提取特征，计算提取的特征和免疫数据库的特征的近似度值，将计算的近似度值与阈值进行比较，和确定数据是否对应于入侵代码。

使用上述处理可确定待定代码是否对应于入侵代码。

图8是示出根据本发明示例性实施例的检测入侵代码的方法的操作的流程图。

在操作S810，每个计算机中的检测入侵代码的方法从输入对每个计算机组都不同的设置值开始。

输入的设置值可对应于对每个计算机组都不同的组特征关键词、驻留代码列表和用于产生免疫数据库的池的随机池产生因子。

组特征关键词可被用于提取用于产生免疫数据库的驻留代码的特征，或者提取用于确定数据是否对应于入侵代码的数据的特征。具体来说，从驻留代码提取对应于组特征关键词条件的特征，从用于确定数据是否对应于入侵代码的数据中提取对应于组特征关键词条件的特征。

组特征关键词可对应于在处理二进制文件或者原始二进制执行文件的文件中以预定概率出现的式样。

驻留代码列表可对应于用户安装在计算机中的程序或者执行代码中确定为安全的代码列表。

如上所述，因为对于各个用户计算机可改变程序和执行文件，所以驻留代码列表可被不同地建立，以对应于每个计算机的特征。

随机池产生因子可包括建立阈值和随机池大小的因子。这里，阈值用于产生免疫数据库或者使用产生的免疫数据库确定入侵代码。

在操作S820，当输入对每个组都不同的设置值时，基于输入的设置值产生免疫数据库。

具体来说，基于组特征关键词和随机池产生因子，从每个包括在驻留代码列表中的驻留代码中提取对应于组特征关键词条件的特征，并产生随机池特征。

可基于组特征关键词的长度和包括在随机池产生因子中的随机池大小产生随机池特征。

计算每个驻留代码的特征和随机池特征的近似度值，将从随机池特征中计算的近似度值小于或者等于预定阈值的特征产生为免疫数据库。

在操作S830，基于产生的免疫数据库确定数据是否对应于入侵代码。

具体来说，使用免疫数据库来确定收集的数据是否对应于入侵代码。以示例的方式，但不限于此，收集的数据可包括：任何存储在计算机中的执行文件数据中所包括的数据、任何存储在计算机中的数据和实时输入的任何数据。

在为了确定数据是否对应于入侵代码而从数据中提取对应于组特征关键词条件的特征并且计算提取的数据的特征和免疫数据库的特征的近似度值之后，将计算的近似度值与阈值进行比较。

如果计算的近似度值大于阈值，则将该数据被确定为入侵数据。

如果全部计算的近似度值小于或者等于阈值，则该数据被确定为属于安全代码的驻留代码。

图9是示出图8的操作S820的具体操作的流程图。

操作S910使用输入的组特征关键词和驻留代码列表提取驻留代码的特征。

可从包括在驻留代码列表中的每个驻留代码提取对应于组特征关键词条件的特征。

在操作S920，基于组特征关键词的长度和包括在随机池产生因子中的随机池大小来产生随机池特征。

从与组特征关键词的长度对应的多个特征来随机地产生与随机池大小对应的多个随机池特征。

在操作S930，为了产生免疫数据库，计算提取的驻留代码的特征和产生的随机池特征的近似度值。

根据一一对应的方式针对每个特征计算近似度值。因此，当驻留代码的特征的数量为“N”，而随机池特征的数量为“M”时，按照数量N×M来计算近似度值。

在计算近似度值之后，在操作S940，根据随机池特征中计算的近似度值小于或者等于预定阈值的特征来产生免疫数据库。

当阈值可以是输入设置值时包括在随机池产生因子中的阈值。

图10是示出图8的操作S830的具体操作的流程图。

在操作S1010中，收集数据以确定该数据是否对应于入侵数据。

收集的数据可对应于包括在任何存储在计算机中的执行文件数据、任何存储在计算机中的数据和任何实时输入计算机的数据中的数据。

在操作S1020，从收集的数据(例如，每个执行文件)提取对应于组特征关键词条件的特征。

在操作S1030，计算从数据提取的特征和免疫数据库的特征的近似度值。

具体来说，计算从数据提取的每个特征和免疫数据库的每个特征的近似度值。

在操作S1040，确定针对免疫数据库的特征计算的近似度值是否大于预定阈值。

在操作S1050，如果确定针对免疫数据库的特征计算的近似度值大于预定阈值，则确定该数据是入侵代码。

相反，如果计算的近似度值小于或者等于预定阈值，则该数据被确定为属于安全代码的驻留代码。

根据上述示例性实施例的检测入侵代码的方法可被记录在计算机可读介质内，所述计算机可读介质包括程序指令以实施计算机实现的各种操作。所述介质还可包括单独的程序指令、数据文件、数据结构等，或者包括程序指令、数据文件、数据结构等的组合。计算机可读介质的示例包括，但不限于：诸如硬盘、软盘和磁带的磁介质，诸如CD ROM盘和DVD的光学介质，诸如光盘的磁光介质，和诸如只读存储器(ROM)、随机存取存储器(RAM)、闪速存储器等的被特殊配置以存储和执行程序指令的硬件装置。所述程序指令的示例包括机器代码(诸如编译器产生的代码)和包含可由计算机使用解释器来执行的高级代码的文件。所述硬件装置可以被配置为一个或者多个软件模块，以执行上述本发明实施例的操作。

根据本发明示例性实施例，可提供一种检测入侵代码的设备和方法，所述设备和方法可区分并产生能够确定数据是否对应于入侵代码的免疫数据库。

根据本发明的示例性实施例，还提供了一种检测入侵代码的设备和方法，所述设备和方法可使用不同的免疫数据库防止由于新类型或者变种的恶意代码引起的统一损害。

根据本发明的示例性实施例，还提供了一种检测入侵代码的设备和方法，所述设备和方法可从具有对新类型或者变种的恶意代码的耐受性的系统获得针对新类型或者变种的恶意代码的诊断方法。

尽管已经示出并描述了本发明的几个示例性实施例，但是本发明不限于所述的示例性实施例。而本领域技术人员应当理解，在不脱离本发明的原则和精神的情况下，可对这些示例性实施例进行改变，本发明的范围由权利要求及其等同物限定。

Claims

1.一种检测入侵代码的设备，所述设备包括：

设置值输入单元，输入对多个组中的每一组都不同的设置值；

免疫数据库产生单元，基于设置值产生免疫数据库；和

入侵代码确定单元，基于产生的免疫数据库确定数据是否对应于入侵代码。

2.如权利要求1所述的设备，其中，设置值包括：

组特征关键词，划分组；

驻留代码列表，对应于安全代码；和

随机池产生因子，产生免疫数据库的池。

3.如权利要求2所述的设备，其中，免疫数据库产生单元包括：

特征提取单元，使用组特征关键词提取驻留代码的特征；

池特征产生单元，基于组特征关键词和随机池产生因子产生随机池特征；

近似度值计算单元，计算提取的驻留代码的特征和产生的随机池特征的近似度值；和

免疫数据库产生管理单元，将计算的近似度值小于或者等于阈值的随机池特征产生为免疫数据库。

4.如权利要求3所述的设备，其中，池特征产生单元基于组特征关键词的长度和包括在随机池产生因子中的随机池大小来产生随机池特征。

5.如权利要求3所述的设备，其中，在随机池产生因子中设置所述阈值。

6.如权利要求2所述的设备，其中，入侵代码确定单元包括：

数据收集单元，收集数据以确定所述数据是否对应于入侵代码；

数据特征提取单元，使用组特征关键词提取数据收集单元收集的数据的特征；

数据近似度值计算单元，计算提取的数据的特征和免疫数据库的特征的近似度值；

入侵代码确定管理单元，当计算的近似度值大于预定阈值时，将所述数据确定为入侵代码。

7.如权利要求1所述的设备，其中，所述数据是计算机中内部存储的执行文件数据。

8.如权利要求1所述的设备，其中，所述数据是计算机中内部存储的任何数据。

9.如权利要求1所述的设备，其中，所述数据是实时输入的数据。

10.如权利要求1所述的设备，其中，组包括至少一个计算机。

11.一种检测入侵代码的方法，所述方法包括：

输入对每一组都不同的设置值；

基于设置值产生免疫数据库；和

基于产生的免疫数据库确定数据是否对应于入侵代码。

12.如权利要求11所述的方法，其中，设置值包括：

组特征关键词，划分组；

驻留代码列表，对应于安全代码；和

随机池产生因子，产生免疫数据库的池。

13.如权利要求12所述的方法，其中，产生免疫数据库的步骤包括：

使用组特征关键词提取驻留代码的特征；

基于组特征关键词和随机池产生因子产生随机池特征；

计算提取的驻留代码的特征和产生的随机池特征的近似度值；和

将计算的近似度值小于或者等于阈值的随机池特征产生为免疫数据库。

14.如权利要求13所述的方法，其中，在随机池特征的产生步骤，基于组特征关键词的长度和包括在随机池产生因子中的随机池大小来产生随机池特征。

15.如权利要求13所述的方法，其中，在随机池产生因子中设置所述阈值。

16.如权利要求12所述的方法，其中，确定所述数据是否对应于入侵代码的步骤包括：

收集数据以确定所述数据是否对应于入侵代码；使用组特征关键词提取收集的数据的特征；

计算提取的数据的特征和免疫数据库的特征的近似度值；

如果计算的近似度值大于阈值，则将所述数据确定为入侵代码。

17.如权利要求11所述的方法，其中，所述数据是计算机中内部存储的执行文件数据。

18.如权利要求11所述的方法，其中，所述数据是计算机中内部存储的任何数据。

19.如权利要求11所述的方法，其中，所述数据是实时输入的数据。