CN115935359B - 一种文件处理方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本公开提供了一种文件处理方法、装置、计算机设备及存储介质，其中，该方法包括：利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

Description

一种文件处理方法、装置、计算机设备及存储介质

技术领域

本公开涉及计算机技术领域，具体而言，涉及一种文件处理方法、装置、计算机设备及存储介质。

背景技术

风险检测引擎能提供对文件的风险检测，可以检测文件是否携带有木马、病毒等风险数据，风险数据被执行时通常会进行一些风险行为，这些风险行为可能会导致用户的数据被泄漏，甚至会对用户的操作系统或数据进行破坏，因此，文件的风险检测成为计算机安全的重要技术。

风险检测引擎通常会维护一个黑名单，将具有特定功能或特征的文件直接定义为风险文件，如经过合法授权的注册机等特殊工具，这些特殊工具本身提供的功能能够在授权下对用户的系统或数据进行修改，并不是恶意程序，采用黑名单的方式直接判断其是否为风险文件并不准确。

发明内容

本公开实施例至少提供一种文件处理方法、装置、计算机设备及存储介质。

第一方面，本公开实施例提供了一种文件处理方法，包括：

利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

将基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重、以及所述目标字段，输入至训练的风险分析模型，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，通过以下步骤训练所述风险分析模型：

针对获取的多个样本文件，分别对每个所述样本文件通过所述多个风险检测引擎进行风险检测，得到第一风险检测报告样本；

将多个所述第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本；

基于所述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本、以及所述样本文件是否包含目标风险对应的真值标签，对所述风险分析模型进行训练。

一种可选的实施方式中，所述将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段，包括：

对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段；

基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段。

一种可选的实施方式中，所述对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段，包括：

针对任一所述风险检测报告，获取所述风险检测报告对应的字段映射关系；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段，包括：

对所述标准字段进行语义分类，得到各个属性维度的多个标准字段集合；

针对任一所述属性维度，从所述属性维度对应的标准字段集合中，筛选出数量最多的标准字段，作为所述属性维度对应的目标字段。

一种可选的实施方式中，所述基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段，包括：

针对所述风险检测报告中的任一第二字段，获取与所述第二字段之间关联的至少一个候选字段；

在所述风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，通过以下步骤确定与所述第二字段之间关联的至少一个候选字段：

获取多个第二风险检测报告样本；

确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值；

将所述比值超过预设阈值的字段作为所述候选字段。

第二方面，本公开实施例还提供一种文件处理装置，包括：

检测模块，用于利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

聚合模块，用于将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

分析模块，用于基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述分析模块在基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果时，用于：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述分析模块在基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果时，用于：

将基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重、以及所述目标字段，输入至训练的风险分析模型，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述装置还包括训练模块，用于：

针对获取的多个样本文件，分别对每个所述样本文件通过所述多个风险检测引擎进行风险检测，得到第一风险检测报告样本；

将多个所述第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本；

基于所述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本、以及所述样本文件是否包含目标风险对应的真值标签，对所述风险分析模型进行训练。

一种可选的实施方式中，所述聚合模块具体用于：

对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段；

基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段。

一种可选的实施方式中，所述聚合模块对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段时，用于：

针对任一所述风险检测报告，获取所述风险检测报告对应的字段映射关系；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述聚合模块基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段时，用于：

对所述标准字段进行语义分类，得到各个属性维度的多个标准字段集合；

针对任一所述属性维度，从所述属性维度对应的标准字段集合中，筛选出数量最多的标准字段，作为所述属性维度对应的目标字段。

一种可选的实施方式中，所述聚合模块基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段时，用于：

针对所述风险检测报告中的任一第二字段，获取与所述第二字段之间关联的至少一个候选字段；

在所述风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述装置还包括确定模块，用于：

获取多个第二风险检测报告样本；

确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值；

将所述比值超过预设阈值的字段作为所述候选字段。

第三方面，本公开可选实现方式还提供一种计算机设备，处理器、存储器，所述存储器存储有所述处理器可执行的机器可读指令，所述处理器用于执行所述存储器中存储的机器可读指令，所述机器可读指令被所述处理器执行时，所述机器可读指令被所述处理器执行时执行上述第一方面，或第一方面中任一种可能的实施方式中的步骤。

第四方面，本公开可选实现方式还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被运行时执行上述第一方面，或第一方面中任一种可能的实施方式中的步骤。

关于上述文件处理装置、计算机设备、及计算机可读存储介质的效果描述参见上述文件处理方法的说明，这里不再赘述。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，而非限制本公开的技术方案。

本公开实施例提供的文件处理方法、装置、计算机设备及存储介质，通过对多个风险检测报告中指示的风险的属性信息进行聚合，得到各个属性维度的目标字段，再通过目标字段、目标文件的文件类型这些更细节的特征对指示目标文件是否存在风险的第一字段进行校验，基于校验结果再进行目标文件是否包含目标风险的分析，实现对目标文件是否真正含有风险进行判断，提高风险检测的精确度。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本公开实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，此处的附图被并入说明书中并构成本说明书中的一部分，这些附图示出了符合本公开的实施例，并与说明书一起用于说明本公开的技术方案。应当理解，以下附图仅示出了本公开的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本公开一些实施例所提供的文件处理方法的流程图；

图2示出了本公开一些实施例所提供的训练风险分析模型的步骤的流程图；

图3示出了本公开一些实施例所提供的特征提取的步骤的流程图；

图4示出了本公开一些实施例所提供的文件处理装置的示意图；

图5示出了本公开一些实施例所提供的计算机设备的示意图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合本公开实施例中附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。通常在此处描述和示出的本公开实施例的组件可以以各种不同的配置来布置和设计。因此，以下对本公开的实施例的详细描述并非旨在限制要求保护的本公开的范围，而是仅仅表示本公开的选定实施例。基于本公开的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本公开保护的范围。

风险检测引擎通常会维护一个黑名单，将具有特定功能或特征的文件直接定义为风险文件（如经过合法授权的注册机等特殊工具），这些特殊工具本身提供的功能能够在授权下对用户的系统或数据进行修改，并不是恶意程序。采用黑名单直接进行风险判断的方式并不准确，可能导致用户忽略风险提示而直接使用这些特殊工具。

然而，这些特殊工具也有可能被植入除了本身功能以外的风险数据，有些风险检测引擎在确定文件为该类文件之后并不会再对文件进行风险检测，用户也不能得知特殊工具是否还有携带本身功能以外的其他风险，从而无法判断这些文件能否安全使用。

基于上述研究，本公开实施例通过对多个风险检测报告中指示的风险的属性信息进行聚合，得到各个属性维度的目标字段，再通过目标字段、目标文件的文件类型这些更细节的特征，对指示目标文件是否存在风险的第一字段进行校验，基于校验结果再进行目标文件是否包含目标风险的分析，实现对目标文件是否真正含有风险进行判断，提高风险检测的精确度。

针对以上方案所存在的缺陷，均是发明人在经过实践并仔细研究后得出的结果，因此，上述问题的发现过程以及下文中本公开针对上述问题所提出的解决方案，都应该是发明人在本公开过程中对本公开做出的贡献。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

值得注意的是，本公开实施例中所使用的目标风险并不特指某种具体的风险，而是指将上述特殊工具本身功能排除在外的风险。

为便于对本实施例进行理解，首先对本公开实施例所公开的一种文件处理方法进行详细介绍，本公开实施例所提供的文件处理方法的执行主体一般为具有一定计算能力的计算机设备，该计算机设备例如包括：终端设备或服务器或其它处理设备。在一些可能的实现方式中，该文件处理方法可以通过处理器调用存储器中存储的计算机可读指令的方式来实现。

下面以执行主体为终端设备为例对本公开实施例提供的文件处理方法加以说明。

参见图1所示，为本公开实施例提供的文件处理方法的流程图，所述方法包括步骤S101~S103，其中：

S101、利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段。

其中，风险检测引擎能够对文件进行风险检测，检测目标文件中的各条指令数据是否存在木马、病毒等特征，并输出风险检测报告，风险检测报告中可以指示有检测的目标文件是否是存在风险，以及风险的属性信息，风险的属性信息可以包括风险类型、病毒名称、病毒的家族信息、风险行为信息等。

本公开实施例中的多个风险检测引擎互为不同种类的风险检测引擎，不同种类的风险检测引擎可以使用不同的检测逻辑，检测出的结果也可能存在差异，并且，对于相同的检测结果，其使用的表示字符也可能不同。在本公开实施例中，可以将风险检测报告中指示目标文件是否存在风险的字段作为第一字段，指示风险的属性信息的字段作为第二字段，由于风险的属性信息存在多种，因此，第二字段可以包含多个，每个第二字段可以对应一种属性信息。

在一些风险检测引擎中，会设置黑名单，直接将能够在合法授权的情况下对系统数据进行修改的一些特殊工具定义为风险文件，在这之后，可能不会对目标文件再进行风险检测，导致对特殊工具的风险漏检，用户仍然不清楚目标文件中是否含有真正的目标风险，为此，本公开实施例通过以下步骤对目标文件是否包含目标风险进行分析。

S102、将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型。

该步骤中，不同风险检测报告中的风险的属性信息可能不同，其表现属性信息所使用的字符也可能不同，因此，需要对不同风险检测报告中的第二字符进行聚合，得到各种类型的属性信息下的目标字段，在聚合结果中，可以按照属性信息的类型，也即属性维度对第二字段进行聚合，每个风险检测报告中，每个属性维度对应一个第二字段。

由于不同风险检测报告表现属性信息所使用的字符也可能不同，需要先对各个风险检测报告的第二字段进行标准化处理，得到各个风险检测报告分别对应的标准字段，再对各个属性维度的标准字段进行聚合，得到该属性维度下的目标字段。

对第二字段进行标准化时，可以先获取风险检测报告对应的字段映射关系，字段映射关系可以中可以包括标准的属性信息与第二字段之间的对应关系，通过在字段映射关系中检索第二字段中对应的标准字段。

上述字段映射关系中可以由业务人员根据经验针对各个风险检测引擎定制，风险检测引擎可以携带有参数标签，参数标签对应各个第二字符，业务人员能够根据参数标签以及各个参数标签的语义构建字段映射关系。

由于风险检测引擎在检测过程中，还可能会漏检一些属性信息，因此，可以对风险检测报告中的第二字段进行补全，将新增的第二字段添加到风险检测报告中，再对补全后的第二字段进行标准化处理。

在对第二字段进行补全时，可以先确定风险检测报告中各个字段的关联关系，比如，一些风险检测引擎的风险检测报告中，字段A与字段B同时出现的次数较高，则说明字段A与字段B之间具有一定的关联关系，若一风险检测报告中只出现了字段A，但未出现字段B，则可以将字段B补充至该风险检测报告中。

示例性的，针对风险检测报告中的任一第二字段，可以获取与第二字段关联的至少一个候选字段，然后，在风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中，从而实现对该风险检测报告的属性信息的补全，之后，再基于字段映射关系，将风险检测报告中的各个第二字段进行标准化处理，得到风险检测报告对应的标准字段。

在确定与第二字段之间关联的至少一个候选字段时，可以获取多个第二风险检测报告样本，确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值，然后将所述比值超过预设阈值的字段作为所述候选字段。

上述第二风险检测报告可以来自不同的风险检测引擎。

在得到各个风险检测报告在各个属性维度下的标准字段之后，可以根据各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，在进行聚合时，可以先对标准字段进行语义分类，语义分类可以按照属性维度进行，得到各个属性维度的多个标准字段集合，然后，针对任一属性维度对应的标准字段集合中，筛选出数量最多的标准字段，将该标准字段作为该属性维度对应的目标字段。

其中，上述标准字段的数量足够多，说明有足够多的风险检测模型检测得到了相同的属性信息，该属性信息的置信度较高，因此，可以选取数量最多的标准字段作为目标字段。

S103、基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

该步骤中，可以根据不同风险检测引擎对不同文件类型的检测结果（即第一字段，目标文件是否存在风险）的偏向性或准确性，对目标文件是否为真正的风险文件进行判断，并且，还可以将目标字段、文件类型和目标文件是否为真正的风险文件作为影响因子，判断目标文件是否包含目标风险。

在具体实施中，可以先基于目标文件的文件类型，获取上述多个风险检测引擎分别在该文件类型下，针对是否包含目标风险的检测精确度，再基于得到的检测精确度，确定各个风险检测引擎分别对应的权重，最后基于文件类型、各个风险检测引擎对应的第一字段、多个风险检测引擎分别对应的权重，以及目标字段，得到目标文件是否包含目标风险的分析结果。

示例性的，可以利用上述权重能够对第一字段进行加权，然后利用加权后的第一字段、文件类型，以及上述目标字段，进行目标文件是否包含除特殊工具以外的目标风险行为进行分析，得到分析结果。

为了提高分析的精确度和效率，可以利用训练的风险分析模型确定上述分析结果，可以将文件类型、各个风险检测引擎对应的第一字段、多个风险检测引擎分别对应的权重、以及目标字段作为风险分析模型的输入，将目标文件是否包含目标风险作为风险分析模型的输出。

训练风险分析模型的步骤与使用风险分析模型的步骤相似，可以获取多个样本文件，分别对每个样本文件通过各个风险检测引擎进行风险检测，得到第一风险检测报告样本，然后，利用上述聚合方式，对第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本，然后将上述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本作为输入，利用输出结果与所述样本文件是否包含目标风险对应的真值标签进行训练。

本公开实施例提供的文件处理方法，通过对多个风险检测报告中指示的风险的属性信息进行聚合，得到各个属性维度的目标字段，再通过目标字段、目标文件的文件类型这些更细节的特征，对指示目标文件是否存在风险的第一字段进行校验，基于校验结果再进行目标文件是否包含目标风险的分析，实现对目标文件是否真正含有风险进行判断，提高风险检测的精确度。

参加图2所示，为本公开实施例所提供的训练风险分析模型的步骤的流程图，该步骤首先获取训练样本及训练样本的真值标签，然后利用多个风险检测引擎对训练样本进行风险检测，并获取风险检测报告样本，然后对风险检测样本进行特征提取，得到目标字段、第一字段、文件类型、各个风险检测引擎的权重，然后利用得到的数据进行机器学习模型的训练。

参见图3所示，为本公开实施例所提供的特征提取的步骤的流程图，该步骤中先将各个风险检测报告的第一字段编码为（0/1）的字符，同时利用动态标签映射以及自动化拓展模型将多个风险检测报告的第二字符合聚合，得到异常类型、病毒名称、家族信息、风险行为等特征，最后，将各个属性维度下的特征，以及第一字段编码得到的字符，以及根据文件类型确定的各个风险检测模型的权重合并，得到输入值风险分析模型中的特征。

本领域技术人员可以理解，在具体实施方式的上述方法中，各步骤的撰写顺序并不意味着严格的执行顺序而对实施过程构成任何限定，各步骤的具体执行顺序应当以其功能和可能的内在逻辑确定。

基于同一发明构思，本公开实施例中还提供了与文件处理方法对应的文件处理装置，由于本公开实施例中的装置解决问题的原理与本公开实施例上述文件处理方法相似，因此装置的实施可以参见方法的实施，重复之处不再赘述。

参照图4所示，为本公开实施例提供的一种文件处理装置的示意图，所述装置包括：

检测模块410，用于利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

聚合模块420，用于将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

分析模块430，用于基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述分析模块430在基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果时，用于：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述分析模块430在基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果时，用于：

将基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重、以及所述目标字段，输入至训练的风险分析模型，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述装置还包括训练模块，用于：

针对获取的多个样本文件，分别对每个所述样本文件通过所述多个风险检测引擎进行风险检测，得到第一风险检测报告样本；

将多个所述第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本；

基于所述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本、以及所述样本文件是否包含目标风险对应的真值标签，对所述风险分析模型进行训练。

一种可选的实施方式中，所述聚合模块420具体用于：

对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段；

基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段。

一种可选的实施方式中，所述聚合模块420对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段时，用于：

针对任一所述风险检测报告，获取所述风险检测报告对应的字段映射关系；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述聚合模块420基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段时，用于：

对所述标准字段进行语义分类，得到各个属性维度的多个标准字段集合；

针对任一所述属性维度，从所述属性维度对应的标准字段集合中，筛选出数量最多的标准字段，作为所述属性维度对应的目标字段。

一种可选的实施方式中，所述聚合模块420基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段时，用于：

针对所述风险检测报告中的任一第二字段，获取与所述第二字段之间关联的至少一个候选字段；

在所述风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述装置还包括确定模块，用于：

获取多个第二风险检测报告样本；

确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值；

将所述比值超过预设阈值的字段作为所述候选字段。

关于装置中的各模块的处理流程、以及各模块之间的交互流程的描述可以参照上述方法实施例中的相关说明，这里不再详述。

本公开实施例还提供了一种计算机设备，如图5所示，为本公开实施例提供的计算机设备结构示意图，包括：

处理器51和存储器52；所述存储器52存储有处理器51可执行的机器可读指令，处理器51用于执行存储器52中存储的机器可读指令，所述机器可读指令被处理器51执行时，处理器51执行下述步骤：

利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述处理器51执行的指令中，所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述处理器51执行的指令中，所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

将基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重、以及所述目标字段，输入至训练的风险分析模型，得到所述目标文件是否包含目标风险的分析结果。

一种可选的实施方式中，所述处理器51执行的指令中，还包括：

针对获取的多个样本文件，分别对每个所述样本文件通过所述多个风险检测引擎进行风险检测，得到第一风险检测报告样本；

将多个所述第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本；

基于所述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本、以及所述样本文件是否包含目标风险对应的真值标签，对所述风险分析模型进行训练。

一种可选的实施方式中，所述处理器51执行的指令中，所述将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段，包括：

对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段；

基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段。

一种可选的实施方式中，所述处理器51执行的指令中，所述对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段，包括：

针对任一所述风险检测报告，获取所述风险检测报告对应的字段映射关系；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述处理器51执行的指令中，所述基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段，包括：

对所述标准字段进行语义分类，得到各个属性维度的多个标准字段集合；

针对任一所述属性维度，从所述属性维度对应的标准字段集合中，筛选出数量最多的标准字段，作为所述属性维度对应的目标字段。

一种可选的实施方式中，所述处理器51执行的指令中，所述基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段，包括：

针对所述风险检测报告中的任一第二字段，获取与所述第二字段之间关联的至少一个候选字段；

在所述风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

一种可选的实施方式中，所述处理器51执行的指令中，还包括：

获取多个第二风险检测报告样本；

确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值；

将所述比值超过预设阈值的字段作为所述候选字段。

上述存储器52包括内存521和外部存储器522；这里的内存521也称内存储器，用于暂时存放处理器51中的运算数据，以及与硬盘等外部存储器522交换的数据，处理器51通过内存521与外部存储器522进行数据交换。

上述指令的具体执行过程可以参考本公开实施例中所述的文件处理方法的步骤，此处不再赘述。

本公开实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行上述方法实施例中所述的文件处理方法的步骤。其中，该存储介质可以是易失性或非易失的计算机可读取存储介质。

本公开实施例还提供一种计算机程序产品，该计算机程序产品承载有程序代码，所述程序代码包括的指令可用于执行上述方法实施例中所述的文件处理方法的步骤，具体可参见上述方法实施例，在此不再赘述。

其中，上述计算机程序产品可以具体通过硬件、软件或其结合的方式实现。在一个可选实施例中，所述计算机程序产品具体体现为计算机存储介质，在另一个可选实施例中，计算机程序产品具体体现为软件产品，例如软件开发包（Software Development Kit，SDK）等等。

若本公开技术方案涉及个人信息，应用本公开技术方案的产品在处理个人信息前，已明确告知个人信息处理规则，并取得个人自主同意。若本公开技术方案涉及敏感个人信息，应用本公开技术方案的产品在处理敏感个人信息前，已取得个人单独同意，并且同时满足“明示同意”的要求。例如，在摄像头等个人信息采集装置处，设置明确显著的标识告知已进入个人信息采集范围，将会对个人信息进行采集，若个人自愿进入采集范围即视为同意对其个人信息进行采集；或者在个人信息处理的装置上，利用明显的标识/信息告知个人信息处理规则的情况下，通过弹窗信息或请个人自行上传其个人信息等方式获得个人授权；其中，个人信息处理规则可包括个人信息处理者、个人信息处理目的、处理方式以及处理的个人信息种类等信息。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。在本公开所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本公开各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可执行的非易失的计算机可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本公开各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（Read-OnlyMemory，ROM）、随机存取存储器（Random Access Memory，RAM）、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施例，仅为本公开的具体实施方式，用以说明本公开的技术方案，而非对其限制，本公开的保护范围并不局限于此，尽管参照前述实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本公开实施例技术方案的精神和范围，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应所述以权利要求的保护范围为准。

Claims (11)

1.一种文件处理方法，其特征在于，包括：

利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果；所述目标风险包括对系统或数据进行修改的功能之外的风险；

所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

2.根据权利要求1所述的方法，其特征在于，所述基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果，包括：

将基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重、以及所述目标字段，输入至训练的风险分析模型，得到所述目标文件是否包含目标风险的分析结果。

3.根据权利要求2所述的方法，其特征在于，通过以下步骤训练所述风险分析模型：

针对获取的多个样本文件，分别对每个所述样本文件通过所述多个风险检测引擎进行风险检测，得到第一风险检测报告样本；

将多个所述第一风险检测报告样本中，对应相同属性维度的字段样本进行聚合，得到多个目标字段样本；

基于所述样本文件的文件类型、各个所述第一风险检测报告样本对应的所述第一字段样本、所述目标字段样本、以及所述样本文件是否包含目标风险对应的真值标签，对所述风险分析模型进行训练。

4.根据权利要求1所述的方法，其特征在于，所述将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段，包括：

对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段；

基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段。

5.根据权利要求4所述的方法，其特征在于，所述对所述多个风险检测报告的第二字段进行标准化处理，得到所述多个风险检测报告分别对应的标准字段，包括：

针对任一所述风险检测报告，获取所述风险检测报告对应的字段映射关系；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

6.根据权利要求4所述的方法，其特征在于，所述基于所述多个风险检测报告中，各个标准字段的数量，将对应相同属性维度的标准字段进行聚合，得到各个所述属性维度对应的目标字段，包括：

对所述标准字段进行语义分类，得到各个属性维度的多个标准字段集合；

针对任一所述属性维度，从所述属性维度对应的标准字段集合中，筛选出数量最多的标准字段，作为所述属性维度对应的目标字段。

7.根据权利要求5所述的方法，其特征在于，所述基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段，包括：

针对所述风险检测报告中的任一第二字段，获取与所述第二字段之间关联的至少一个候选字段；

在所述风险检测报告中，不存在于所述候选字段相同的第二字段的情况下，将所述候选字段作为新的第二字段添加至所述风险检测报告中；

基于所述字段映射关系，将所述风险检测报告中的各个所述第二字段进行标准化处理，得到所述风险检测报告对应的标准字段。

8.根据权利要求7所述的方法，其特征在于，通过以下步骤确定与所述第二字段之间关联的至少一个候选字段：

获取多个第二风险检测报告样本；

确定所述第二风险检测报告样本中，各个字段与所述第二字段同时出现的次数，占所述第二风险检测报告样本的总数的比值；

将所述比值超过预设阈值的字段作为所述候选字段。

9.一种文件处理装置，其特征在于，包括：

检测模块，用于利用多个风险检测引擎，对目标文件进行风险检测，得到各个所述风险检测引擎分别针对所述目标文件的风险检测报告；所述风险检测报告包括指示所述目标文件是否存在风险的第一字段，以及指示所述风险的属性信息的多个第二字段；

聚合模块，用于将多个所述风险检测报告中，对应相同属性维度的第二字段进行聚合，得到多个目标字段；所述多个目标字段至少指示有所述风险的风险类别和风险行为；以及，确定所述目标文件的文件类型；

分析模块，用于基于所述文件类型、各个所述风险检测引擎对应的所述第一字段，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果；所述目标风险包括对系统或数据进行修改的功能之外的风险；

所述分析模块具体用于：

基于所述目标文件对应的文件类型，获取所述多个风险检测引擎分别在所述文件类型下，针对是否包含目标风险的检测精确度；

基于所述检测精确度，确定所述多个风险检测引擎分别对应的权重；

基于所述文件类型、各个所述风险检测引擎对应的所述第一字段、所述多个风险检测引擎分别对应的权重，以及所述目标字段，得到所述目标文件是否包含目标风险的分析结果。

10.一种计算机设备，其特征在于，包括：处理器、存储器，所述存储器存储有所述处理器可执行的机器可读指令，所述处理器用于执行所述存储器中存储的机器可读指令，所述机器可读指令被所述处理器执行时，所述处理器执行如权利要求1至8任一项所述的文件处理方法的步骤。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被计算机设备运行时，所述计算机设备执行如权利要求1至8任意一项所述的文件处理方法的步骤。

Images