[發(fā)明專利]一種蠕蟲同源性分析方法和裝置

有效

• 申請?zhí)枺?/td>: 201710296409.6
• 申請日: 2017-04-28
• 公開（公告）號: CN107169355B
• 公開（公告）日: 2020-05-08
• 發(fā)明（設(shè)計）人: 薛靜鋒;王勇;王麗艷;劉振巖;張繼
• 申請（專利權(quán)）人: 北京理工大學(xué)
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市隆安律師事務(wù)所 11323
• 代理人: 權(quán)鮮枝;何立春

1.一種蠕蟲同源性分析方法，其特征在于，所述方法包括：

從蠕蟲樣本中提取靜態(tài)特征和動態(tài)特征；所述動態(tài)特征包括：網(wǎng)絡(luò)行為特征和應(yīng)用程序編程接口API調(diào)用序列；

對靜態(tài)特征和網(wǎng)絡(luò)行為特征進(jìn)行預(yù)處理，得到蠕蟲特征集；以及根據(jù)API調(diào)用序列構(gòu)建敏感行為特征庫；

利用第一同源性分析算法對所述蠕蟲特征集進(jìn)行處理，輸出預(yù)測各蠕蟲樣本分屬于各家族的第一概率分布矩陣；

利用第二同源性分析算法對所述API調(diào)用序列和所述敏感行為特征庫進(jìn)行處理，輸出預(yù)測各蠕蟲樣本分屬于各家族的第二概率分布矩陣；

對第一概率分布矩陣和第二概率分布矩陣進(jìn)行權(quán)重調(diào)整，得到第三概率分布矩陣；

根據(jù)第三概率分布矩陣，得到同源分析結(jié)果。

2.如權(quán)利要求1所述的方法，其特征在于，對靜態(tài)特征和網(wǎng)絡(luò)行為特征進(jìn)行預(yù)處理，得到蠕蟲特征集包括：

對靜態(tài)特征和網(wǎng)絡(luò)行為特征進(jìn)行特征量化與歸一化處理，以及進(jìn)行特征選擇與降維處理，得到蠕蟲特征集。

3.如權(quán)利要求1所述的方法，其特征在于，所述根據(jù)API調(diào)用序列構(gòu)建敏感行為特征庫包括：

根據(jù)API調(diào)用序列構(gòu)造頻繁模式樹；

通過遍歷所述頻繁模式樹得出各蠕蟲家族的API調(diào)用序列頻繁模式；

每條API調(diào)用序列的頻繁模式構(gòu)成敏感行為特征庫中的一條記錄。

4.如權(quán)利要求1所述的方法，其特征在于，

所述第一同源性分析算法為隨機(jī)森林算法；

所述第二同源性分析算法為敏感行為匹配算法。

5.如權(quán)利要求4所述的方法，其特征在于，所述利用第二同源性分析算法對所述API調(diào)用序列和所述敏感行為特征庫進(jìn)行處理，輸出預(yù)測各蠕蟲樣本分屬于各家族的第二概率分布矩陣包括：

將所述API調(diào)用序列與所述敏感行為特征庫進(jìn)行匹配，計算命中率，再將命中率分布矩陣轉(zhuǎn)換為蠕蟲樣本分屬于各家族的概率分布矩陣，得到所述第二概率分布矩陣。

6.一種蠕蟲同源性分析裝置，其特征在于，所述裝置包括：

特征提取單元，用于從蠕蟲樣本中提取靜態(tài)特征和動態(tài)特征；所述動態(tài)特征包括:網(wǎng)絡(luò)行為特征和應(yīng)用程序編程接口API調(diào)用序列；

特征預(yù)處理單元，用于對靜態(tài)特征和網(wǎng)絡(luò)行為特征進(jìn)行預(yù)處理，得到蠕蟲特征集；以及根據(jù)API調(diào)用序列構(gòu)建敏感行為特征庫；

第一同源性分析單元，用于利用第一同源性分析算法對所述蠕蟲特征集進(jìn)行處理，輸出預(yù)測各蠕蟲樣本分屬于各家族的第一概率分布矩陣；

第二同源性分析單元，用于利用第二同源性分析算法對所述API調(diào)用序列和所述敏感行為特征庫進(jìn)行處理，輸出預(yù)測各蠕蟲樣本分屬于各家族的第二概率分布矩陣；

第三同源性分析單元，用于對第一概率分布矩陣和第二概率分布矩陣進(jìn)行權(quán)重調(diào)整，得到第三概率分布矩陣；并根據(jù)第三概率分布矩陣，得到同源分析結(jié)果。

7.如權(quán)利要求6所述的裝置，其特征在于，

特征預(yù)處理單元，用于對靜態(tài)特征和網(wǎng)絡(luò)行為特征進(jìn)行特征量化與歸一化處理，以及進(jìn)行特征選擇與降維處理，得到蠕蟲特征集。

8.如權(quán)利要求6所述的裝置，其特征在于，

所述特征預(yù)處理單元，用于根據(jù)API調(diào)用序列構(gòu)造頻繁模式樹，以及通過遍歷所述頻繁模式樹得出各蠕蟲家族的API調(diào)用序列頻繁模式；其中，每條API調(diào)用序列的頻繁模式構(gòu)成敏感行為特征庫中的一條記錄。

9.如權(quán)利要求6所述的裝置，其特征在于，

所述第一同源性分析算法為隨機(jī)森林算法；

所述第二同源性分析算法為敏感行為匹配算法。

10.如權(quán)利要求9所述的裝置，其特征在于，

第二同源性分析單元，用于將所述API調(diào)用序列與所述敏感行為特征庫進(jìn)行匹配，計算命中率，再將命中率分布矩陣轉(zhuǎn)換為蠕蟲樣本分屬于各家族的概率分布矩陣，得到所述第二概率分布矩陣。