[發明專利]一種基于生成對抗網絡的惡意軟件檢測器抗概念漂移方法

有效

• 申請號: 202010035839.4
• 申請日: 2020-01-14
• 公開（公告）號: CN111259393B
• 公開（公告）日: 2023-05-23
• 發明（設計）人: 戴裕昇;黃長江;戴青
• 申請（專利權）人: 河南信息安全研究院有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/53;G06N3/0442;G06N3/0475;G06N3/048;G06N3/047;G06N3/08
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 張立強

1.一種基于生成對抗網絡的惡意軟件檢測器抗概念漂移方法，其特征在于，包括：

步驟1：從沙箱提取惡意代碼的API調用序列，并通過word2vec將API調用序列轉換為特征向量；所述步驟1包括：

步驟1.1：將提取到的API調用序列排列為一組；

步驟1.2：針對API調用序列中每個函數，對每個函數周圍2a個函數取平均值，a為上下文常量；

步驟1.3：設置訓練迭代次數，對每個函數對應的平均值進行更新，將各函數對應的平均值與當前API調用序列的標簽合并，作為API調用序列對應的特征向量；

步驟2：基于所述特征向量訓練輔助分類生成對抗網絡；所述步驟2包括：

步驟2.1：在生成器的輸入端，為每個特征向量增加一個符合高斯分布的隨機數；

步驟2.2：生成器最后一層全連接層將數據送入兩個激活函數sigmoid和softmax，將生成的數據映射為向量，并得到真假輸出和類別輸出；

步驟2.3：在生成器和判別器的網絡全連接層之間均連接一層批量規范化層，以保證每一層神經網絡的輸入保持相同分布；

步驟2.4：通過Adam優化器優化損失函數，完成輔助分類生成對抗網絡訓練；

步驟3：利用訓練好的輔助分類生成對抗網絡生成惡意代碼API調用序列，同時加入實際的惡意代碼API調用序列，通過GRU網絡進行訓練得出惡意軟件檢測器；

步驟4：將惡意軟件檢測器的檢測結果作為訓練集，重新訓練輔助分類生成對抗網絡，按照步驟3方式重新訓練惡意軟件檢測器，以提高惡意軟件檢測器的抗概念漂移性能。

2.根據權利要求1所述的一種基于生成對抗網絡的惡意軟件檢測器抗概念漂移方法，其特征在于，所述步驟3包括：

步驟3.1：利用訓練好的輔助分類生成對抗網絡生成惡意代碼API調用序列，同時加入實際的惡意代碼API調用序列，生成惡意代碼數據集，將惡意代碼數據集中各惡意代碼API調用序列轉換為特征向量；

步驟3.2：采用1層以上GRU網絡，將步驟3.1中的特征向量嵌入embedding層作為輸入；

步驟3.3：將embedding層輸出的特征作為GRU層的輸入；

步驟3.4：將GRU層的輸出作為全連接層的輸入，使用ReLU作為全連接層的激活函數；

步驟3.5：使用softmax函數回歸得到分類結果，完成惡意軟件檢測器的訓練。