[發明專利]一種融合多檢測結果的惡意程序檢測方法

在審

• 申請號: 201610909053.4
• 申請日: 2016-10-18
• 公開（公告）號: CN106650440A
• 公開（公告）日: 2017-05-10
• 發明（設計）人: 覃仁超;曾金全
• 申請（專利權）人: 西南科技大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 泰和泰律師事務所51219
• 代理人: 曾祥坤

1.一種融合多檢測結果的惡意程序檢測方法，其特征在于，包括以下步驟:

步驟S1、建立字符串集合：所述建立字符串集合包括在計算機系統中收集正常程序，構成正常程序集合Bp，收集一部分有代表性的惡意程序構成惡意程序集Mp；在正常程序集合Bp中選取一部分常見的程序構成正常程序子集Bp1，在惡意程序集合Bp中選取一部分常見的程序構成惡意程序子集Mp1；在正常程序子集Bp1和惡意程序子集Mp1中提取長度為len的、不重復的十六進制字符串，并將其添加到字符串集合中，len的取值范圍為2-20字節；

步驟S2、計算每個字符串的信息增益，選取特定數量的字符串構成基因庫：具體為計算字符串集合中的每個十六進制字符串的信息增益值，然后按信息增益從大到小按降序進行排序，選取信息增益量較大的N個十六進制字符串構成基因庫，N大于或等于100小于或等于2000；

步驟S3、提取正常程序的特征向量，形成正常程序向量空間：具體為基于步驟S2建立的基因庫，對計算機系統中的正常程序建立特征向量，并進一步構建在當前基因庫下的正常程序的向量空間；

步驟S4、生成惡意程序檢測器：即基于步驟S3建立的正常程序向量空間，進一步生成覆蓋惡意程序特征向量空間的惡意程序檢測器；

步驟S5、初步判定待檢程序是否為惡意程序：即對每一個待檢測程序進行特征提取,生成待檢測程序的特征向量,計算待檢測程序的特征向量與檢測器之間的r連續位距離,若所述r連續位距離大于或等于設定的閾值,判定待檢測程序為惡意程序,否則為正常程序；

步驟S6、根據融合規則判斷待檢程序是否為惡意程序：具體為在步驟S1采用不同的len值，通過步驟S2得到不同長度的基因庫，重復步驟S3至步驟S5，對待檢測程序再次進行檢測,得到新的檢測結果，并至少重復一次，再次得到新的檢測結果，由多個檢測結果，運用融合規則，計算其為正常程序或者是惡意程序的基本信任分配，最終判定待檢測程序是惡意程序或者是正常程序。

2.根據權利要求1所述的惡意程序檢測方法，其特征在于，步驟1所述的建立字符串集合的步驟還包括：

步驟S11、對正常程序子集Bp1和惡意程序子Mp1中的每一個程序p，從它的開始位置每次滑動一個字節，依次提取長度為len的十六進制字符串，直至程序結尾為止；

步驟S12、對提取到的每一個十六進制字符串進行判定其是否出現在長度為len的字符串集合中，若是，則執行驟S13，若否則執行步驟S14；

步驟S13、丟棄；

步驟S14、將此字符串加入到字符串集合中；

步驟S15：改變基因長度len的值，重復以上操作，得到不同長度的字符串集合，len的取值范圍為2至20。