[發明專利]一種惡意軟件檢測方法及裝置

在審

• 申請號: 202011077442.8
• 申請日: 2020-10-10
• 公開（公告）號: CN112163222A
• 公開（公告）日: 2021-01-01
• 發明（設計）人: 劉洋;王軒;龍瀚林;田志成;漆舒漢;張加佳;夏文;唐琳琳
• 申請（專利權）人: 哈爾濱工業大學（深圳）
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 劉翠香

1.一種惡意軟件檢測方法，其特征在于，包括：

確定待檢測的目標軟件；

獲得所述目標軟件的系統調用名和網絡活動事件；

將所述目標軟件的系統調用名和網絡活動事件按照時間戳統一排序，編碼生成所述目標軟件的聚合動態特征；

將所述目標軟件的聚合動態特征輸入到預先訓練獲得的基于序列轉換器結構的目標神經網絡模型中，獲得輸出結果；

根據所述輸出結果，確定所述目標軟件是否為惡意軟件。

2.根據權利要求1所述的方法，其特征在于，所述目標神經網絡模型為通過以下步驟訓練獲得：

獲得多個訓練樣本的聚合動態特征，每個訓練樣本的聚合動態特征中攜帶相應訓練樣本是否為惡意軟件的標簽；

建立基于序列轉換器結構的初始神經網絡模型；

基于所述多個訓練樣本的聚合動態特征，對所述初始神經網絡模型進行訓練，更新模型參數；

訓練完成后，基于所述標簽確定訓練后的神經網絡模型的準確率是否達到設定的準確率閾值；

如果未達到，則重復執行基于所述多個訓練樣本的聚合動態特征，對所述初始神經網絡模型進行訓練，更新模型參數的步驟；

如果達到，則將當前訓練后的神經網絡模型確定為所述目標神經網絡模型。

3.根據權利要求2所述的方法，其特征在于，所述初始神經網絡模型所基于的序列轉換器結構的維度為多維。

4.根據權利要求2所述的方法，其特征在于，所述初始神經網絡模型包括輸入層、帶位置編碼的嵌入層、序列轉換器模塊、全局平均池化層、隨機失活層及夾在中間的Relu激活層、sigmoid全連接層和softmax激活層。

5.根據權利要求1所述的方法，其特征在于，所述根據所述輸出結果，確定所述目標軟件是否為惡意軟件，包括：

如果所述輸出結果中所述目標軟件為惡意軟件的概率超過設定決策閾值，則將所述目標軟件確定為惡意軟件。

6.根據權利要求1至5之中任一項所述的方法，其特征在于，還包括：

在達到設定的訓練觸發條件時，重新訓練獲得所述目標神經網絡模型。

7.一種惡意軟件檢測裝置，其特征在于，包括：

目標軟件確定單元，用于確定待檢測的目標軟件；

目標軟件監測單元，用于獲得所述目標軟件的系統調用名和網絡活動事件；

聚合動態特征生成單元，用于將所述目標軟件的系統調用名和網絡活動事件按照時間戳統一排序，編碼生成所述目標軟件的聚合動態特征；

輸出結果獲得單元，用于將所述目標軟件的聚合動態特征輸入到預先訓練獲得的基于序列轉換器結構的目標神經網絡模型中，獲得輸出結果；

惡意軟件判定單元，用于根據所述輸出結果，確定所述目標軟件是否為惡意軟件。

8.根據權利要求7所述的裝置，其特征在于，還包括模型訓練單元，用于通過以下步驟訓練獲得所述目標神經網絡模型：

獲得多個訓練樣本的聚合動態特征，每個訓練樣本的聚合動態特征中攜帶相應訓練樣本是否為惡意軟件的標簽；

建立基于序列轉換器結構的初始神經網絡模型；

基于所述多個訓練樣本的聚合動態特征，對所述初始神經網絡模型進行訓練，更新模型參數；

訓練完成后，基于所述標簽確定訓練后的神經網絡模型的準確率是否達到設定的準確率閾值；

如果未達到，則重復執行基于所述多個訓練樣本的聚合動態特征，對所述初始神經網絡模型進行訓練，更新模型參數的步驟；

如果達到，則將當前訓練后的神經網絡模型確定為所述目標神經網絡模型。

9.根據權利要求7所述的裝置，其特征在于，所述惡意軟件判定單元，用于：

如果所述輸出結果中所述目標軟件為惡意軟件的概率超過設定決策閾值，則將所述目標軟件確定為惡意軟件。

10.根據權利要求7至9之中任一項所述的裝置，其特征在于，還包括模型重新訓練單元，用于：

在達到設定的訓練觸發條件時，重新訓練獲得所述目標神經網絡模型。