[發(fā)明專利]一種基于信息增益的惡意代碼檢測方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201510344523.2
• 申請日: 2015-06-19
• 公開（公告）號: CN105488413A
• 公開（公告）日: 2016-04-13
• 發(fā)明（設(shè)計）人: 常安琪;李柏松
• 申請（專利權(quán)）人: 哈爾濱安天科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于信息增益的惡意代碼檢測方法，其特征在于，包括：

步驟1、收集惡意樣本和非惡意樣本組成訓(xùn)練樣本集；

步驟2、選取各種分裂標準組成屬性集；

步驟3、利用有放回的隨機抽取的形式從訓(xùn)練樣本集中抽取預(yù)設(shè)數(shù)量的樣本組成測試樣本集；

步驟4、針對所述測試樣本集隨機提取特征組成特征樣本集；

步驟5、基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準，對特征樣本集進行一層層的分裂直至不能再分裂為止，各分裂節(jié)點的分裂標準最終組合形成決策樹；

步驟6、重復(fù)步驟3至步驟5得到所需數(shù)量的決策樹；

步驟7、基于各個決策樹對待檢測數(shù)據(jù)進行判定，對所有的判定結(jié)果進行綜合，給出最終的檢測結(jié)果。

2.如權(quán)利要求1所述的方法，其特征在于，所述基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準，包括：

計算屬性集中各種分裂標準在該分裂節(jié)點的信息增益Gain：

；

；

其中，D為進入當前分裂節(jié)點的樣本總數(shù)量，K為經(jīng)過選取的分裂標準后得到的分裂種類，為各個分裂種類的樣本數(shù)量，m=2，代表個樣本中屬于惡意樣本的概率，代表個樣本中屬于非惡意樣本的概率；

選取屬性集中使得信息增益Gain取得最大值的分裂標準作為該分裂節(jié)點的分裂標準。

3.如權(quán)利要求1所述的方法，其特征在于，所述基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準后，還包括，將該分裂標準從屬性集中刪除。

4.一種基于信息增益的惡意代碼檢測系統(tǒng)，其特征在于，包括：

訓(xùn)練樣本集生成模塊，用于收集惡意樣本和非惡意樣本組成訓(xùn)練樣本集；

屬性集生成模塊，用于選取各種分裂標準組成屬性集；

測試樣本集生成模塊，用于利用有放回的隨機抽取的形式從訓(xùn)練樣本集中抽取預(yù)設(shè)數(shù)量的樣本組成測試樣本集；

特征樣本集生成模塊，用于針對所述測試樣本集隨機提取特征組成特征樣本集；

決策樹生成模塊，用于基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準，對特征樣本集進行一層層的分裂直至不能再分裂為止，各分裂節(jié)點的分裂標準最終組合形成決策樹；

檢測規(guī)則生成模塊，用于重復(fù)調(diào)用測試樣本集生成模塊，特征樣本集生成模塊和決策樹生成模塊得到所需數(shù)量的決策樹；

判定模塊，用于基于各個決策樹對待檢測數(shù)據(jù)進行判定，對所有的判定結(jié)果進行綜合，給出最終的檢測結(jié)果。

5.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準，包括：

計算屬性集中各種分裂標準在該分裂節(jié)點的信息增益Gain；

；

；

其中，D為進入當前分裂節(jié)點的樣本總數(shù)量，K為經(jīng)過選取的分裂標準后得到的分裂種類，為各個分裂種類的樣本數(shù)量，m=2，代表個樣本中屬于惡意樣本的概率，代表個樣本中屬于非惡意樣本的概率；

選取屬性集中使得信息增益Gain取得最大值的分裂標準作為該分裂節(jié)點的分裂標準。

6.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述基于信息增益最大化的標準從屬性集中選取各分裂節(jié)點的分裂標準后，還包括，將該分裂標準從屬性集中刪除。