[發(fā)明專利]一種惡意安裝包的識別方法和裝置

有效

• 申請?zhí)枺?/td>: 201711192496.7
• 申請日: 2017-11-24
• 公開（公告）號: CN108021806B
• 公開（公告）日: 2021-10-22
• 發(fā)明（設(shè)計）人: 郭祥;周楠;李強;王冬
• 申請（專利權(quán)）人: 北京奇虎科技有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06N3/08
• 代理公司: 北京律誠同業(yè)知識產(chǎn)權(quán)代理有限公司 11006
• 代理人: 王玉雙

1.一種惡意安裝包的識別方法，其特征在于，包括：

獲取待檢測安裝包經(jīng)過沙箱處理后的特征序列；

從所述特征序列中提取符合預(yù)定文字提取規(guī)則的文字信息；

對所述文字信息進行前處理，得到符合預(yù)先配置的神經(jīng)網(wǎng)絡(luò)識別模型輸入格式的待輸入數(shù)據(jù)；

通過將所述待輸入數(shù)據(jù)輸入到所述神經(jīng)網(wǎng)絡(luò)識別模型進行分析，確定所述待檢測安裝包是否為惡意安裝包；

所述待檢測安裝包在所述沙箱中模擬運行產(chǎn)生多次調(diào)用應(yīng)用程序編程接口的行為；所述待檢測安裝包則對應(yīng)多個調(diào)用行為特征，將多個所述調(diào)用行為特征按照調(diào)用的時間順序進行排列，形成所述特征序列。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述神經(jīng)網(wǎng)絡(luò)識別模型的獲取步驟包括：

獲取訓(xùn)練安裝包經(jīng)過沙箱處理后的訓(xùn)練特征序列；

從所述訓(xùn)練特征序列中提取符合預(yù)定文字提取規(guī)則的訓(xùn)練文字信息；

對所述訓(xùn)練文字信息進行處理，得到訓(xùn)練輸入數(shù)據(jù)；

將所述訓(xùn)練輸入數(shù)據(jù)輸入到神經(jīng)網(wǎng)絡(luò)進行處理，得到訓(xùn)練函數(shù)；

根據(jù)所述訓(xùn)練函數(shù)的各項數(shù)值對所述神經(jīng)網(wǎng)絡(luò)進行訓(xùn)練，獲得神經(jīng)網(wǎng)絡(luò)識別模型。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述神經(jīng)網(wǎng)絡(luò)包括卷積神經(jīng)網(wǎng)絡(luò)和長短期記憶網(wǎng)絡(luò)，將所述訓(xùn)練輸入數(shù)據(jù)輸入到神經(jīng)網(wǎng)絡(luò)進行處理，得到訓(xùn)練函數(shù)，具體包括：

將所述訓(xùn)練輸入數(shù)據(jù)輸入到卷積神經(jīng)網(wǎng)絡(luò)進行卷積處理，得到多維特征數(shù)據(jù)；

將所述多維特征數(shù)據(jù)輸入到長短期記憶網(wǎng)絡(luò)進行處理，獲得訓(xùn)練函數(shù)；

根據(jù)所述訓(xùn)練函數(shù)的各項數(shù)值對所述神經(jīng)網(wǎng)絡(luò)進行訓(xùn)練，獲得神經(jīng)網(wǎng)絡(luò)識別模型，具體包括：

根據(jù)所述訓(xùn)練函數(shù)的各項數(shù)值對所述卷積神經(jīng)網(wǎng)絡(luò)和所述長短期記憶網(wǎng)絡(luò)進行訓(xùn)練，獲得卷積神經(jīng)網(wǎng)絡(luò)模型和長短期記憶網(wǎng)絡(luò)模型；

將所述卷積神經(jīng)網(wǎng)絡(luò)模型和長短期記憶網(wǎng)絡(luò)模型進行組合得到神經(jīng)網(wǎng)絡(luò)識別模型。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，將所述訓(xùn)練輸入數(shù)據(jù)輸入到卷積神經(jīng)網(wǎng)絡(luò)進行卷積處理，得到多維特征數(shù)據(jù)，具體包括：

對所述訓(xùn)練文字信息進行分詞處理，并為分詞處理得到的分詞匹配相應(yīng)的分詞向量，所述分詞向量為一維輸入矩陣；

對所述分詞向量進行格式轉(zhuǎn)換，將一維輸入矩陣轉(zhuǎn)化為二維輸入矩陣；

將所述二維輸入矩陣輸入到卷積神經(jīng)網(wǎng)絡(luò)進行卷積處理，得到向量矩陣；

提取所述向量矩陣中的第一維的向量，并將所述第一維的向量作為多維特征數(shù)據(jù)。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述為分詞處理得到的分詞匹配相應(yīng)的分詞向量，具體包括：

從分詞處理得到的分詞中獲取預(yù)定數(shù)量的分詞，為所述預(yù)定數(shù)量的分詞分別匹配相應(yīng)的分詞向量；

將所述二維輸入矩陣輸入到卷積神經(jīng)網(wǎng)絡(luò)進行卷積處理，得到向量矩陣，具體包括：

將所述二維輸入矩陣輸入到卷積神經(jīng)網(wǎng)絡(luò)進行卷積處理，得到一個數(shù)量為(a-b+1)*1的向量矩陣；

其中，a為預(yù)定數(shù)量，b為卷積神經(jīng)網(wǎng)絡(luò)的卷積核高度。

6.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述訓(xùn)練文字信息按照時間順序分為多個時序的訓(xùn)練文字信息，對應(yīng)得到多個多維特征數(shù)據(jù)，將所述多維特征數(shù)據(jù)輸入到長短期記憶網(wǎng)絡(luò)進行處理，獲得訓(xùn)練函數(shù)，具體包括：

將多個多維特征數(shù)據(jù)輸入到長短期記憶網(wǎng)絡(luò)進行處理，得到多個輸出數(shù)據(jù)；

選取最后一個時間點的輸出數(shù)據(jù)作為目標(biāo)數(shù)據(jù)；

對所述目標(biāo)數(shù)據(jù)進行后期處理，獲得訓(xùn)練函數(shù)。

7.根據(jù)權(quán)利要求6所述的方法，其特征在于，對所述目標(biāo)數(shù)據(jù)進行后期處理，獲得訓(xùn)練函數(shù)，具體包括：

為所述目標(biāo)數(shù)據(jù)添加全鏈接；

將添加全鏈接的目標(biāo)數(shù)據(jù)輸入歸一化指數(shù)函數(shù)進行歸一化處理，得到交叉熵損失函數(shù)；

將所述交叉熵損失函數(shù)確定為訓(xùn)練函數(shù)。