[發(fā)明專利]基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法及裝置

在審

• 申請?zhí)枺?/td>: 201910123265.3
• 申請日: 2019-02-18
• 公開（公告）號(hào): CN109871686A
• 公開（公告）日: 2019-06-11
• 發(fā)明（設(shè)計(jì)）人: 舒輝;楊萍;康緋;熊小兵;光焱;桂智杰
• 申請（專利權(quán)）人: 中國人民解放軍戰(zhàn)略支援部隊(duì)信息工程大學(xué)
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06N3/04
• 代理公司: 鄭州大通專利商標(biāo)代理有限公司 41111
• 代理人: 周艷巧

1.一種基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，包含：

A)收集已知分類正常軟件數(shù)據(jù)，提取已知正常軟件圖標(biāo)資源數(shù)據(jù)和導(dǎo)入表API數(shù)據(jù)，構(gòu)建CNN深度學(xué)習(xí)模型，分別對圖標(biāo)和導(dǎo)入表API信息進(jìn)行訓(xùn)練，并依據(jù)圖標(biāo)分類和軟件行為分類信息，得到常規(guī)軟件庫；

B)對待測樣本進(jìn)行結(jié)構(gòu)解析，提取圖標(biāo)資源數(shù)據(jù)及導(dǎo)入表API函數(shù)數(shù)據(jù)，傳輸至訓(xùn)練好的常規(guī)軟件庫中進(jìn)行測試，獲取待測樣本圖標(biāo)分類和軟件行為分類信息；

C)依據(jù)測試結(jié)果對待測樣本圖標(biāo)分類和軟件行為分類信息的行為一致性進(jìn)行判定，若一致，則判定為正常軟件，若不一致，則判定為惡意軟件，并生成惡意程序檢測報(bào)告輸出。

2.根據(jù)權(quán)利要求1所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，CNN深度學(xué)習(xí)模型包含用于依據(jù)圖標(biāo)資源數(shù)據(jù)獲取軟件程序類別的圖標(biāo)分類模型和依據(jù)導(dǎo)入表API數(shù)據(jù)獲取軟件程序類別行為的軟件行為分類模型。

3.根據(jù)權(quán)利要求2所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，圖標(biāo)分類模型采用包含輸入層、卷積層、池化層、全連接層和輸出層的卷積神經(jīng)網(wǎng)絡(luò)模型，其中，卷積層和池化層交替設(shè)置，卷積層通過卷積操作提取圖標(biāo)特征，通過池化層進(jìn)行特征降維，通過全連接層輸出圖標(biāo)分類結(jié)果。

4.根據(jù)權(quán)利要求2所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，軟件行為分類模型中，將導(dǎo)入表API函數(shù)數(shù)據(jù)存成文本文件格式，將軟件行為分類問題轉(zhuǎn)化為文本分類問題。

5.根據(jù)權(quán)利要求4所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，將軟件行為分類問題轉(zhuǎn)化為文本分類問題過程中，將提取得到的每個(gè)導(dǎo)入表API函數(shù)數(shù)據(jù)作為樣本，在樣本中每一行表示一個(gè)行為，將一行視為一個(gè)整體，遍歷所有的導(dǎo)入表API函數(shù)數(shù)據(jù)文本，對所有出現(xiàn)過的所有行為進(jìn)行去重，得到詞庫；用連續(xù)數(shù)字對詞庫中的每一個(gè)詞進(jìn)行標(biāo)號(hào)，獲取動(dòng)態(tài)行為到標(biāo)號(hào)id的映射；將文本轉(zhuǎn)為二維矩陣，將詞庫中的每一個(gè)詞用一個(gè)向量表示，對于每一個(gè)樣本，將文本中的行為根據(jù)詞庫轉(zhuǎn)換為對應(yīng)的id序列，根據(jù)該id序列以及詞庫中每個(gè)id的向量將樣本轉(zhuǎn)換為二維矩陣；利用卷積神經(jīng)網(wǎng)絡(luò)訓(xùn)練樣本，對于輸入的二維矩陣，分別用多個(gè)卷積核進(jìn)行卷積，經(jīng)過卷積后，再對每一個(gè)卷積結(jié)果使用最大池化，取列向量中的最大值；將所有卷積核結(jié)果對應(yīng)的最大值連接，構(gòu)成全連接層，用softmax分類器進(jìn)行多分類處理。

6.根據(jù)權(quán)利要求5所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，用連續(xù)數(shù)字對詞庫中的每一個(gè)詞進(jìn)行標(biāo)號(hào)，獲取動(dòng)態(tài)行為到標(biāo)號(hào)id的映射過程中，并添加未知?jiǎng)討B(tài)行為，該未知?jiǎng)討B(tài)行為用于之后匹配不在詞庫中的未知行為。

7.根據(jù)權(quán)利要求1所述的基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別方法，其特征在于，B)中，常規(guī)軟件庫測試過程中，若出現(xiàn)無法獲取待測樣本圖標(biāo)分類和軟件行為分類信息，則判定該待測樣本為新分類，將該待測樣本添加至軟件程序常規(guī)信息庫中。

8.一種基于圖標(biāo)表示和軟件行為一致性分析的惡意程序識(shí)別裝置，其特征在于，包含：收集模塊、測試模塊和判定模塊，其中，

收集模塊，用于收集已知分類正常軟件數(shù)據(jù)，提取已知正常軟件圖標(biāo)資源數(shù)據(jù)和導(dǎo)入表API數(shù)據(jù)，構(gòu)建CNN深度學(xué)習(xí)模型，分別對圖標(biāo)和導(dǎo)入表API信息進(jìn)行訓(xùn)練，并依據(jù)圖標(biāo)分類和軟件行為分類信息，得到常規(guī)軟件庫；

測試模塊，用于對待測樣本進(jìn)行結(jié)構(gòu)解析，提取圖標(biāo)資源數(shù)據(jù)及導(dǎo)入表API函數(shù)數(shù)據(jù)，傳輸至訓(xùn)練好的常規(guī)軟件庫中進(jìn)行測試，獲取待測樣本圖標(biāo)分類和軟件行為分類信息；

判定模塊，用于依據(jù)測試結(jié)果對待測樣本圖標(biāo)分類和軟件行為分類信息的行為一致性進(jìn)行判定，若一致，則判定為正常軟件，若不一致，則判定為惡意軟件，并生成惡意程序檢測報(bào)告輸出。