[發明專利]基于動態行為序列和深度學習的惡意行為實時檢測系統

有效

• 申請號: 202011312359.4
• 申請日: 2020-11-20
• 公開（公告）號: CN112417450B
• 公開（公告）日: 2022-05-20
• 發明（設計）人: 楊珉;張源;張曉寒;張謐
• 申請（專利權）人: 復旦大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/54
• 代理公司: 上海正旦專利代理有限公司 31200
• 代理人: 陸飛;陸尤

1.一種基于動態行為序列和深度學習的惡意軟件實時檢測系統，其特征在于，包括：兩個核心模塊：應用動態行為實時采集子系統和應用行為實時判別子系統，兩個輔助模塊：數據處理模塊和數據通信模塊；應用動態行為實時采集子系統包括框架層行為采集模塊和內核層行為采集模塊；應用行為實時判別子系統包括深度模型及模型管理模塊；其中：

所述應用動態行為實時采集子系統用于持續、可靠地記錄應用所調用的框架層函數調用接口(以下稱API)和內核層系統調用序列，以表征應用所產生的行為；為應用行為判別子系統提供行為判別依據；

所述應用行為實時判別子系統利用深度學習技術探索行為序列信息內在聯系，使用機器學習模型對上述調用序列進行即時判別，以檢測惡意行為；

所述兩個輔助模塊：數據處理模塊和數據通信模塊，用來協助兩個核心模塊的運行；

所述應用動態行為實時采集子系統部署在移動設備系統中，從安卓系統框架層和安卓系統內核層分別對應用行為相關的關鍵API調用和系統調用進行插樁，全面覆蓋應用的關鍵行為；對于每個被插樁的API或系統調用，根據所傳入的調用參數的不同，將調用細化為不同的行為描述點，以準確地描述應用行為；

所述應用行為實時判別子系統，使用深度學習技術對應用行為序列進行檢測判別；具體地，將一段時間內應用通過API調用和系統調用產生的行為描述點，排序組合成應用的動態行為序列，然后將行為序列數據輸入到基于深度學習的模型，以實現對應用行為的實時判別。

2.根據權利要求1所述的基于動態行為序列和深度學習的惡意軟件實時檢測系統，其特征在于，所述應用動態行為采集子系統達到以下目標，以實現完成有效準確的應用動態行為采集：

（a）選擇恰當的動態行為采樣點以表征應用行為；

（b）完成準確動態行為采集并且無遺漏；

（一）選取采樣點

采樣點的選取按以下兩個策略進行：一是選擇能夠體現應用基本行為的API調用，二是選擇與應用敏感/惡意行為相關的API調用；根據策略一，選擇與應用基本行為相關的系統調用，刻畫應用實時行為的基本流程，捕獲應用的實時狀態；標記出關鍵的行為狀態點，提供應用行為執行的上下文環境，以利于定位出應用行為中的敏感/惡意行為；根據策略二，選擇監控與應用敏感/惡意行為相關的關鍵API調用，直接的描述應用當前正在完成的敏感操作，為實時行為判別子系統提供有效的行為數據；

除依照上述策略外，采樣點的選取還參考應用的靜態特征及動態形為分析結果；應用的靜態特征分析包括對應用進行申請的權限進行分析、API調用的靜態統計；對于應用申請權限的分析能夠指導方案對于涉及敏感權限的應用動態行為的分析以及于權限相關的采樣點的選擇，保證采樣點對惡意應用行為的覆蓋完善準確；而API調用的靜態統計能夠更加直觀的指示不同API調用在應用中出現的概率與分布，指導關鍵采樣點的選擇與非關鍵采樣點的過濾；應用的動態行為分析包括對應用行為及已插樁采樣點捕獲情況進行分析；通過對應用行為的動態分析準確地把握應用的惡意行為，指導采樣點所需要覆蓋的行為范圍；同時結合已插樁采樣點捕獲情況，可以對插樁采樣點的完整性有效性進行檢查；

（二）進行兩層行為采樣

當完成行為采樣點的選擇后，設計兩層行為采樣方案，以實現對于應用行為的有效且全面采集；具體地，對于應用的大部分行為，使用上述方法選取系統框架層行為采樣點進行捕獲；對于如調用非安卓系統接口的特殊應用行為，采用插樁內核層系統調用的方式進行捕獲；兩層行為采樣方案的設計，能從多個維度對應用行為進行準確無遺漏的捕獲和采集，更完整的構建應用行為表征，提升應用行為實時判別的準確性。

3.根據權利要求2所述的基于動態行為序列和深度學習的惡意軟件實時檢測系統，其特征在于，所述采樣點選取中，進一步以采樣樁點的參數信息進行細化，以完成更精確的行為描述；具體地，提取應用參數并進行補充校驗，將API調用細化為行為描述點，以提供更加精準的應用行為描述，以利于深度模型對應用行為進行實時判別。