[發明專利]用于識別惡意應用程序的方法、裝置、設備及存儲介質

在審

• 申請號: 201811457058.3
• 申請日: 2018-11-30
• 公開（公告）號: CN109635563A
• 公開（公告）日: 2019-04-16
• 發明（設計）人: 史東杰;周楠
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56;G06N3/04
• 代理公司: 北京華沛德權律師事務所 11302
• 代理人: 房德權

1.一種用于識別惡意應用程序的方法，其特征在于，所述方法包括：

獲取目標應用程序的動態行為數據，所述動態行為數據為通過在沙箱環境中運行所述目標應用程序并對所述應用程序在運行過程中的行為進行監控，得到的行為數據；

采用預先訓練好的卷積神經網絡對所述動態行為數據進行特征提取，獲得目標動態向量，并基于所述目標動態向量，得到所述目標應用程序的惡意檢測結果。

2.根據權利要求1所述的方法，其特征在于，所述在沙箱環境中運行所述目標應用程序，包括：

在所述目標應用程序在沙箱中運行過程中，模擬用戶的操作，以觸發所述目標應用程序產生行為數據。

3.根據權利要求1所述的方法，其特征在于，所述采用預先訓練好的卷積神經網絡對所述動態行為數據進行特征提取，獲得目標動態向量，包括：

將所述動態行為數據轉化為向量表示的第一動態向量序列；

將所述第一動態向量序列中的每條向量預訓練為采用其周邊向量進行描述的向量，生成第二動態向量序列；

采用所述卷積神經網絡對所述第二動態向量序列進行特征提取，獲得目標動態向量。

4.根據權利要求1所述的方法，其特征在于，所述采用預先訓練好的卷積神經網絡對所述動態行為數據進行特征提取，獲得目標動態向量，包括：

根據預設的病毒特征，篩除所述動態行為數據中與所述病毒特征不匹配的無意義數據；

采用所述卷積神經網絡對篩除所述無意義數據后的所述動態行為數據進行特征提取，獲得目標動態向量。

5.根據權利要求1所述的方法，其特征在于，所述采用預先訓練好的卷積神經網絡對所述動態行為數據進行特征提取，獲得目標動態向量，包括：

在所述卷積神經網絡中，采用多個不同尺寸的卷積核，對所述動態行為數據進行特征提取，獲得多組特征向量；

根據所述多組特征向量，獲得所述目標動態向量。

6.根據權利要求5所述的方法，其特征在于，所述多個不同尺寸的卷積核，包括：

與所述動態行為數據中的每個向量的尺寸相同的一維卷積核。

7.根據權利要求1所述的方法，其特征在于，所述基于所述目標動態向量，得到所述目標應用程序的惡意檢測結果，包括：

獲取所述目標應用程序的標識信息，將所述目標應用程序的標識信息轉化為標識向量；

將所述標識向量與所述目標動態向量進行拼接，得到特征動態向量；

基于所述特征動態向量，得到所述目標應用程序的惡意檢測結果。

8.一種用于識別惡意應用程序的裝置，其特征在于，所述裝置包括：

獲取裝置，用于獲取目標應用程序的動態行為數據，所述動態行為數據為通過在沙箱環境中運行所述目標應用程序并對所述應用程序在運行過程中的行為進行監控，得到的行為數據；

識別模塊，用于采用預先訓練好的卷積神經網絡對所述動態行為數據進行特征提取，獲得目標動態向量，并基于所述目標動態向量，得到所述目標應用程序的惡意檢測結果。

9.一種電子設備，其特征在于，包括處理器和存儲器，所述存儲器耦接到所述處理器，所述存儲器存儲指令，當所述指令由所述處理器執行時使所述電子設備執行權利要求1-7中任一項所述方法的步驟。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該程序被處理器執行時實現權利要求1-7中任一項所述方法的步驟。