[發明專利]一種惡意代碼家族的訓練和檢測方法及裝置

在審

• 申請號: 201710543651.9
• 申請日: 2017-07-05
• 公開（公告）號: CN107392019A
• 公開（公告）日: 2017-11-24
• 發明（設計）人: 曲武
• 申請（專利權）人: 北京金睛云華科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06N3/08;G06N99/00
• 代理公司: 北京安信方達知識產權代理有限公司11262
• 代理人: 李紅爽,李丹

1.一種惡意代碼家族的訓練和檢測方法，其特征在于，所述方法包括：

將惡意代碼映射為圖像，并提取所述圖像的圖像特征；

根據所述圖像特征對惡意代碼圖像進行聚類，并對聚類后獲得的不同類型的惡意代碼圖像進行惡意代碼家族標注；

建立卷積神經元網絡模型；

利用已經進行所述惡意代碼家族標注的惡意代碼圖像集合訓練所述卷積神經元網絡模型，并將經過訓練的所述卷積神經元網絡模型作為檢測模型；

利用所述檢測模型對待檢測的惡意代碼樣本以及所述惡意代碼樣本的變種進行家族檢測。

2.根據權利要求1所述的惡意代碼家族的訓練和檢測方法，其特征在于，所述將惡意代碼映射為圖像，并提取所述圖像的圖像特征包括：

選取惡意代碼庫作為待處理的惡意代碼集合；

對所述待處理的惡意代碼集合進行分布式處理，以過濾掉不符合條件的惡意代碼樣本；

利用預設的映射算法將經過處理的所述惡意代碼庫中的惡意代碼映射為圖像；

采用預設的圖像特征提取算法從映射獲得的所述圖像中提取所述惡意代碼對應的圖像特征，并將所提取的所述圖像特征構造為特征集合。

3.根據權利要求2所述的惡意代碼家族的訓練和檢測方法，其特征在于，所述根據所述圖像特征對惡意代碼圖像進行聚類，并對聚類后獲得的不同類型的惡意代碼圖像進行惡意代碼家族標注包括：

采用預設的聚類算法對所述特征集合進行分布式聚類；

使用殺毒軟件對經過所述分布式聚類后的惡意代碼圖像進行惡意代碼家族標注。

4.根據權利要求3所述的惡意代碼家族的訓練和檢測方法，其特征在于，

所述惡意代碼庫包括：Windows系統的PE惡意文件、Linux系統的ELF惡意文件和/或安卓Android系統的APK文件；

所述預設的映射算法包括：B2G映射算法；

所述預設的圖像特征提取算法包括：GIST特征算法、SIFT特征算法、GLCM特征算法、ColorHis特征算法、Gabor特征算法、Census特征算法和LBP特征算法；

所述預設的聚類算法包括：分布式聚類算法和通用單機聚類算法；

所述殺毒軟件包括：微軟MSE殺毒軟件。

5.根據權利要求1所述的惡意代碼家族的訓練和檢測方法，其特征在于，所述建立卷積神經元網絡模型包括：

構造輸入層、輸出層以及以下任意一個或多個層：卷積層、非線性層、池化層和全連接層；

設置各層參數和訓練權重。

6.根據權利要求2或5所述的惡意代碼家族的訓練和檢測方法，其特征在于，在利用已經進行所述惡意代碼家族標注的惡意代碼圖像集合訓練所述卷積神經元網絡模型之前，所述方法還包括：

采用預設的分段算法將經過標注的所述惡意代碼圖像集合中的惡意代碼文件根據不同的文件類型分別分為多個段section；

利用所述預設的映射算法將所述惡意代碼文件以及所述惡意代碼文件中的各個section映射為灰度圖像。

7.根據權利要求6所述的惡意代碼家族的訓練和檢測方法，其特征在于，所述利用已經進行所述惡意代碼家族標注的惡意代碼圖像集合訓練所述卷積神經元網絡模型包括：

71、將映射獲得的所述灰度圖像作為訓練所述卷積神經元網絡模型的輸入；

72、執行所述灰度圖像在所述輸入層和所述輸出層之間各層的傳播，并計算每種惡意代碼家族對應的輸出概率；

73、根據所述輸出概率計算全部種類的惡意代碼家族在所述輸出層的誤差總和，以獲得所述輸出層的總誤差；

74、采用預設的梯度算法計算所述總誤差相對于所有權重的梯度，并用梯度下降法更新各層的權重和參數值；

75、判斷當前迭代次數是否達到預設的迭代次數N，當判斷結果為是時，結束訓練過程；當判斷結果為否時，返回步驟71；其中，N為正整數。

8.根據權利要求7所述的惡意代碼家族的訓練和檢測方法，其特征在于，

所述預設的分段算法包括：B2S分段算法；

所述預設的梯度算法包括：反向傳播算法。