[發明專利]惡意代碼的特征碼提取方法、裝置和計算機設備

有效

• 申請號: 201911423485.4
• 申請日: 2019-12-31
• 公開（公告）號: CN113127866B
• 公開（公告）日: 2023-08-18
• 發明（設計）人: 劉凱;王占一;吳萌;張勇
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06V30/41;G06V30/18;G06V30/19;G06V10/82;G06N3/0464;G06N3/08
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 程超

1.一種惡意代碼的特征碼提取方法，其特征在于，包括：

通過惡意代碼樣本集訓練學習模型，得到目標學習模型，其中，所述惡意代碼樣本集包括多個樣本，所述樣本包括惡意代碼的多個代碼段的特征數據，所述學習模型包括卷積層，其中，所述卷積層包括多個通道；

將待處理惡意代碼劃分為多個所述代碼段，得到多個待處理代碼段；

提取所述待處理代碼段的特征數據；

將所述待處理代碼段的特征數據輸入所述目標學習模型；

獲取所述目標學習模型的卷積層的輸出特征圖；

計算所述目標學習模型的卷積層中每個所述通道上的梯度值；

根據所述輸出特征圖和所述梯度值計算熱力圖數據，其中，所述熱力圖數據用于表征所述待處理代碼段對惡意類別的貢獻分值；

根據所述貢獻分值選定若干所述待處理代碼段作為所述待處理惡意代碼的特征碼，

其中，根據所述貢獻分值選定若干所述待處理代碼段作為所述待處理惡意代碼的特征碼的步驟包括：篩選所述貢獻分值大于預設分值閾值的所述待處理代碼段，得到若干候選特征碼；確定所述待處理惡意代碼所屬的威脅類別；獲取屬于所述威脅類別的多個所述樣本；統計多個所述樣本中出現所述候選特征碼的樣本數和所述候選特征碼在單個所述樣本中出現的次數；根據所述樣本數和所述次數在若干所述候選特征碼中確定所述待處理惡意代碼的特征碼，其中，所述樣本數越大，所述次數越少，所述候選特征碼作為所述待處理惡意代碼的特征碼的概率越大；

或者，

根據所述貢獻分值選定若干所述待處理代碼段作為所述待處理惡意代碼的特征碼的步驟包括：篩選所述貢獻分值大于預設分值閾值的所述待處理代碼段，得到若干候選特征碼；將所述候選特征碼與正常樣本庫進行比對；以及當所述候選特征碼沒有命中所述正常樣本庫中的樣本時，確定候選特征碼為所述待處理惡意代碼的特征碼。

2.根據權利要求1所述的惡意代碼的特征碼提取方法，其特征在于，根據所述樣本數和所述次數在若干所述候選特征碼中確定所述待處理惡意代碼的特征碼的步驟包括：

采用以下公式計算所述候選特征碼對應的得分：

其中，seq_i表示第i個所述候選特征碼，I_d表示所述D個惡意樣本中第d個惡意樣本是否包含seq_i，其中，I_d＝1時，所述第d個惡意樣本包含seq_i，I_d＝0時，所述第d個惡意樣本不包含seq_i，freq_d表示seq_i出現在所述第d個惡意樣本中的次數，s_i表示seq_i對應的貢獻分值；

根據所述得分在若干所述候選特征碼中確定所述待處理惡意代碼的特征碼，其中，所述得分越大，所述候選特征碼作為所述待處理惡意代碼的特征碼的概率越大。

3.根據權利要求1所述的惡意代碼的特征碼提取方法，其特征在于，通過惡意代碼樣本集訓練學習模型，得到目標學習模型的步驟包括：

設置所述學習模型包括依次連接的M個卷積塊，每個所述卷積塊包括若干所述卷積層；

利用由ImageNet數據集預訓練得到的模型對對所述學習模型的參數進行初始化，以得到初始學習模型；

將所述惡意代碼樣本集作為所述初始學習模型的輸入，凍結所述初始學習模型中第1至第M-1個所述卷積塊的參數，對所述初始學習模型進行訓練，以得到所述目標學習模型。

4.根據權利要求1所述的惡意代碼的特征碼提取方法，其特征在于，所述目標學習模型包括圖片分類模型，所述特征數據包括圖片的像素值，提取所述待處理代碼段的特征數據的步驟包括：

將所述待處理代碼段與預設模板圖像上的一個像素組相對應，其中，所述像素組包括若干像素；

獲取所述待處理代碼段預定位置的字符；

按照預設的映射規則確定所述字符對應的顏色值；以及按照所述字符對應的顏色值、所述字符所在的待處理代碼段與所述像素組的對應關系確定所述圖片的像素值。