[發明專利]一種惡意文件檢測方法、系統、設備及計算機存儲介質

在審

• 申請號: 201910493011.0
• 申請日: 2019-06-06
• 公開（公告）號: CN110210226A
• 公開（公告）日: 2019-09-06
• 發明（設計）人: 劉彥南;王大偉
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N20/00
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

本申請公開了一種惡意文件檢測方法、系統、設備及計算機存儲介質，獲取目標惡意文件；輸入目標惡意文件至預先構建的生成式對抗網絡的生成模型中，接收生成模型對目標惡意文件進行變種后生成的變種文件；將惡意文件檢測引擎作為生成式對抗網絡的判別模型，基于變種文件對判別模型進行訓練，以基于訓練好的判別模型檢測目標文件是否為惡意文件。本申請提供的惡意文件檢測方法，借助生成式對抗網絡自動生成目標惡意文件的變種文件以及對判別模型進行訓練，提高了惡意文件檢測方法的運行效率。本申請提供的惡意文件檢測系統、設備及計算機可讀存儲介質也解決了相應技術問題。

技術領域

本申請涉及信息安全技術領域，更具體地說，涉及一種惡意文件檢測方法、系統、設備及計算機存儲介質。

背景技術

在計算機、服務器等設備的運行過程中，可能遭受惡意文件的破壞，惡意文件指的是能夠攻擊設備對設備造成破壞的文件，為了保護設備的安全，需要對惡意文件進行檢測。

現有的一種惡意文件檢測方法是借助惡意文件檢測引擎對惡意文件進行檢測，本申請所涉及的惡意文件檢測引擎指的是通過機器學習算法訓練得到的能夠識別惡意文件的檢測引擎。由于惡意檢測引擎本身具有泛化能力，而泛化能力指的是從已知文件樣本中學習檢測規則來識別未知的但一定程度相似的惡意文件樣本，所以為了提高惡意文件檢測引擎的泛化能力，需要豐富惡意文件檢測引擎的訓練樣本集合，比如直接對惡意文件樣本應用傳統的惡意文件免殺手段，如加殼混淆等，來模擬變種文件的生成，但是傳統的惡意文件免殺手段的使用需要人工介入，使得變種文件的生成速率較慢，影響惡意文件檢測方法的運行效率。

綜上所述，如何提高惡意文件檢測方法的運行效率是目前本領域技術人員亟待解決的問題。

發明內容

本申請的目的是提供一種惡意文件檢測方法，其能在一定程度上解決如何提高惡意文件檢測方法的運行效率的技術問題。本申請還提供了一種惡意文件檢測系統、設備及計算機可讀存儲介質。

為了實現上述目的，本申請提供如下技術方案：

一種惡意文件檢測方法，包括：

獲取目標惡意文件；

輸入所述目標惡意文件至預先構建的生成式對抗網絡的生成模型中，接收所述生成模型對所述目標惡意文件進行變種后生成的變種文件；

將惡意文件檢測引擎作為所述生成式對抗網絡的判別模型，基于所述變種文件對所述判別模型進行訓練，以基于訓練好的所述判別模型檢測目標文件是否為惡意文件。

優選的，所述接收所述生成模型對所述目標惡意文件進行變種后生成的變種文件，包括：

接收所述生成模型通過強化學習算法對所述目標惡意文件進行變種后生成的變種文件；

其中，所述強化學習算法中的狀態S表示所述變種文件的特征向量；獎賞函數R表示所述判別模型對所述特征向量的判別結果；代理G表示基于所述狀態S及所述獎賞函數R選擇的變種動作A；環境E表示所述判別模型。

優選的，所述接收所述生成模型通過強化學習算法對所述目標惡意文件進行變種后生成的變種文件，包括：

接收所述生成模型通過Q-learning算法對所述目標惡意文件進行變種后生成的變種文件。

優選的，所述接收所述生成模型通過強化學習算法對所述目標惡意文件進行變種后生成的變種文件，包括：

接收所述生成模型通過Policy Gradient算法對所述目標惡意文件進行變種后生成的變種文件。

優選的，所述目標惡意文件的類型包括可執行文件、文檔型文件。