[發明專利]惡意軟件序列檢測

有效

• 申請號: 201880087674.6
• 申請日: 2018-12-31
• 公開（公告）號: CN111656350B
• 公開（公告）日: 2023-08-29
• 發明（設計）人: R·阿格拉瓦爾;J·W·斯托克斯三世;K·塞爾瓦拉杰;A·M·馬里內斯庫
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 永新專利商標代理有限公司 72002
• 代理人: 趙騰飛

1.一個或多個有形計算機可讀存儲介質，所述有形計算機可讀存儲介質對計算機可執行指令進行編碼以用于在計算機系統上執行計算機進程以提供惡意軟件序列檢測，所述計算機進程包括：

接收多個事件的序列；

將所述多個事件的序列劃分為多個子序列；

對所述多個子序列中的一個或多個子序列執行按序子序列學習；

基于所述按序子序列學習的輸出生成sigmoid值；以及

基于所述sigmoid值與閾值的比較，生成所述多個子序列中的所述一個或多個子序列是惡意軟件的概率Pn。

2.根據權利要求1所述的有形計算機可讀存儲介質，其中，對所述多個子序列中的所述一個或多個子序列執行按序子序列學習包括：對所述多個子序列中的所述一個或多個子序列執行卷積學習。

3.根據權利要求2所述的有形計算機可讀存儲介質，其中，對所述多個子序列中的所述一個或多個子序列執行按序子序列學習包括：對所述多個子序列中的所述一個或多個子序列執行遞歸學習。

4.根據權利要求1所述的有形計算機可讀存儲介質，其中，所述計算機進程還包括前知學習PIL處理，所述PIL處理包括：

對所述多個子序列中的一個或多個子序列的所述按序子序列學習的輸出執行sigmoid運算；

將所述多個子序列中的所述一個或多個子序列中的每個子序列的所述sigmoid運算的所述輸出連接到所述多個子序列中的所述一個或多個子序列；以及

重新組合所述多個子序列的所連接的一個或多個子序列以形成輸出向量(E’)。

5.根據權利要求4所述的有形計算機可讀存儲介質，其中，所述PIL處理還包括：

響應于確定所述sigmoid運算的所述輸出高于所述閾值，生成針對接收器的通知，并且終止對后續子序列的進一步處理。

6.根據權利要求4所述的有形計算機可讀存儲介質，其中，所述計算機進程還包括：

使用堆疊的LSTM層和最大池化層來處理所述輸出向量(E’)；

生成多個事件的序列為惡意軟件的概率Pm；以及

基于所述概率Pm的值來確定終止對文件或進程的執行。

7.根據權利要求1所述的有形計算機可讀存儲介質，其中，所述計算機進程還包括：

接收與所述多個事件中的每個事件相關聯的一個或多個參數；

使用與所述多個事件中的每個事件相關聯的所述一個或多個參數來生成多個參數向量；以及

對所述多個參數向量執行參數學習操作。

8.在計算環境中，至少部分地在至少一個處理器上執行的一種用于惡意軟件序列檢測的方法，所述方法包括：

將多個事件的序列劃分為多個子序列；

對所述多個子序列中的一個或多個子序列執行按序子序列學習；

基于所述按序子序列學習的輸出生成sigmoid值；以及

基于所述sigmoid值與閾值的比較，生成所述多個子序列中的所述一個或多個子序列是惡意軟件的概率Pn。

9.根據權利要求8所述的方法，其中，對所述多個子序列中的所述一個或多個子序列執行按序子序列學習包括：對所述多個子序列中的所述一個或多個子序列執行卷積學習和執行遞歸學習中的至少一種。

10.根據權利要求8所述的方法，還包括前知學習PIL處理，所述PIL處理包括：

對所述多個子序列中的一個或多個子序列的所述按序子序列的輸出執行sigmoid運算；

將所述多個子序列中的所述一個或多個子序列中的每個子序列的所述sigmoid運算的輸出連接到所述多個子序列中的所述一個或多個子序列；以及

重新組合所述多個子序列的所連接的一個或多個子序列以形成輸出向量(E’)。