[發明專利]基于機器學習的程序識別方法及裝置

有效

• 申請號: 201410062777.0
• 申請日: 2010-12-31
• 公開（公告）號: CN103853979B
• 公開（公告）日: 2018-01-16
• 發明（設計）人: 董毅;周輝
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N5/02;G06F17/30
• 代理公司: 北京潤澤恒知識產權代理有限公司11319
• 代理人: 蘇培華

1.一種基于機器學習的程序識別方法，其特征在于，包括：

分析輸入的未知程序，提取所述未知程序中的類行為特征，所述類行為特征包括導入表庫特征和導入表應用程序編程接口API特征；

根據所提取的類行為特征對所述未知程序進行粗分類；其中所述根據所提取的類行為特征對所述未知程序進行粗分類具體包括：根據導入表庫特征分類和/或導入表應用程序編程接口API特征分類進行分類；

根據所述粗分類的結果，將所述未知程序輸入已生成的訓練模型及相應的決策機中進行判斷；所述訓練模型根據對海量的程序的特征分類的結果，將不同類別的程序文件的特征向量和黑白屬性使用不同的決策機進行訓練，得到相應的訓練模型；其中，不同特征分類中包含不同數量的具體特征，不同的特征分類對應有不同的分類標識，不同的具體特征對應有不同的特征標識；

輸出所述未知程序的識別結果，所述識別結果為惡意程序或非惡意程序。

2.根據權利要求1所述的方法，其特征在于，所述導入表庫特征包括：網絡類特征、高級WIN32應用程序接口類特征、系統內核類特征、操作系統用戶界面相關應用程序接口類特征、操作系統應用程序共用圖像用戶界面模塊類特征、操作系統硬件提取層模塊類特征、虛擬機相關模塊類特征、標準C運行庫程序類特征、對象鏈接和嵌入相關模塊類特征、操作系統進程狀態支持模塊類特征、操作系統32位外殼動態鏈接庫文件類特征、地址動態鏈接庫文件類特征；

所述導入表API特征為從所述導入表庫中選取的函數特征。

3.根據權利要求1所述的方法，其特征在于，當包括多個訓練模型時，所述將未知程序輸入已生成的訓練模型及相應的決策機中進行判斷包括：

將未知程序分別輸入一個或多個已生成的訓練模型及相應的決策機中進行判斷；

根據預先設置的每種類行為特征分類在每個訓練模型中的權重，將每個訓練模型及相應的決策機對所述未知程序進行判斷的結果進行加權計算；

所述輸出未知程序的識別結果具體為：根據所述加權計算的結果輸出對所述未知程序的識別結果。

4.根據權利要求1所述的方法，其特征在于，還包括：

輸入提取到的海量程序，所述海量程序中包括惡意程序和非惡意程序；

從所輸入的每個程序中提取類行為特征，并對所提取的類行為特征進行分類；

根據所述分類的結果，將不同類別的類行為特征使用不同的決策機進行訓練，生成用于識別惡意程序的訓練模型或訓練模型集合。

5.根據權利要求4所述的方法，其特征在于，所述從所輸入的每個程序中提取類行為特征包括：

分析每個程序文件，從所述程序文件中抽取預先定義的類行為特征；

根據所抽取的類行為特征生成特征向量，以及每個特征向量的黑白屬性。

6.根據權利要求4所述的方法，其特征在于，所述不同的決策機使用相同或不同的方式對特征進行訓練，包括：使用支持向量機的決策機進行訓練，或使用決策樹的決策機進行訓練。

7.一種基于機器學習的程序識別裝置，其特征在于，包括：

提取單元，用于分析輸入的未知程序，提取所述未知程序中的類行為特征，所述類行為特征包括導入表庫特征和導入表應用程序編程接口API特征；

分類單元，用于根據所提取的類行為特征對所述未知程序進行粗分類；其中所述根據所提取的類行為特征對所述未知程序進行粗分類具體包括：根據導入表庫特征分類和/或導入表應用程序編程接口API特征分類進行分類；

判斷單元，用于根據所述粗分類的結果，將所述未知程序輸入已生成的訓練模型及相應的決策機中進行判斷；所述訓練模型根據對海量的程序的特征分類的結果，將不同類別的程序文件的特征向量和黑白屬性使用不同的決策機進行訓練，得到相應的訓練模型；其中，不同特征分類中包含不同數量的具體特征，不同的特征分類對應有不同的分類標識，不同的具體特征對應有不同的特征標識；

輸出單元，用于輸出所述未知程序的識別結果，所述識別結果為惡意程序或非惡意程序。