[發(fā)明專利]一種檢測惡意軟件的方法、裝置、存儲介質(zhì)和電子設(shè)備

在審

• 申請?zhí)枺?/td>: 202011384531.7
• 申請日: 2020-11-30
• 公開（公告）號: CN112380537A
• 公開（公告）日: 2021-02-19
• 發(fā)明（設(shè)計）人: 黃娜;李建國;余小軍
• 申請（專利權(quán)）人: 北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06N3/08
• 代理公司: 北京超凡宏宇專利代理事務(wù)所(特殊普通合伙) 11463
• 代理人: 衡滔

1.一種檢測惡意軟件的方法，其特征在于，包括：

從待檢測軟件中提取待檢測特征；

利用訓練好的判別模型對所述待檢測特征進行檢測，以得到用于確定所述軟件是否為惡意軟件的檢測結(jié)果，所述訓練好的判別模型是利用正常特征樣本、惡意特征樣本和對抗樣本訓練得到的，所述正常特征樣本是從正常軟件樣本中提取的樣本，所述惡意特征樣本是從惡意軟件樣本中提取的樣本，所述對抗樣本是由包含所述判別模型的生成式對抗網(wǎng)絡(luò)中的生成模型對所述惡意特征樣本進行變換處理后獲得的。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述利用訓練好的判別模型對所述待檢測特征進行檢測之前，所述方法還包括：

固定初始判別模型的參數(shù)，根據(jù)所述初始判別模型輸出的檢測結(jié)果對初始生成模型進行訓練，以得到訓練后的生成模型，并由所述訓練后的生成模型對所述惡意特征樣本進行變換處理，以獲得所述對抗樣本，所述檢測結(jié)果是在固定所述初始生成模型的參數(shù)的情況下，由所述初始判別模型對所述正常特征樣本、所述惡意特征樣本或者所述對抗樣本進行檢測后獲得的；

固定所述優(yōu)化后的生成模型的參數(shù)，利用所述對抗樣本對所述初始判別模型進行訓練，以獲得所述訓練好的判別模型。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述由所述訓練后的生成模型對所述惡意特征樣本進行變換處理，包括：

根據(jù)公式對所述惡意特征樣本進行進行變換處理；

其中，表示第m個對抗樣本，x_m表示第m個惡意特征樣本，w_m表示所述第m個惡意特征樣本對應(yīng)的權(quán)重，b_m表示所述第m個惡意特征樣本對應(yīng)的偏移量，m為正整數(shù)。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述根據(jù)所述初始判別模型輸出的檢測結(jié)果對初始生成模型進行訓練，包括：

利用所述檢測結(jié)果對所述初始生成模型的第一目標函數(shù)進行優(yōu)化，所述第一目標函數(shù)為：

其中，L₁表示第一目標函數(shù)值，S_Malicious為惡意軟件樣本庫，y_m表示所述第m個惡意特征樣本對應(yīng)的類型標記，表示所述第m個對抗樣本對應(yīng)的檢測結(jié)果。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述利用所述對抗樣本對所述初始判別模型進行訓練，包括：

利用所述對抗樣本對所述初始判別模型的第二目標函數(shù)進行優(yōu)化，所述第二目標函數(shù)為：

其中，L₂表示第二目標函數(shù)值，f_D(x_m)表示所述第m個惡意特征樣本對應(yīng)的檢測結(jié)果，y_n表示第n個正常特征樣本對應(yīng)的類型標記，f_D(x_n)表示第n個正常特征樣本對應(yīng)的檢測結(jié)果。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述待檢測特征包括以下特征信息中的至少一種特征信息：軟件大小信息、導(dǎo)入動態(tài)鏈接庫的數(shù)量信息、導(dǎo)入函數(shù)的數(shù)量信息、代碼節(jié)的屬性信息、圖像信息、可打印字符信息和字節(jié)熵直方圖信息。

7.一種檢測惡意軟件的裝置，其特征在于，包括：

提取模塊，用于從待檢測軟件中提取待檢測特征；

檢測模塊，用于利用訓練好的判別模型對所述待檢測特征進行檢測，以得到用于確定所述軟件是否為惡意軟件的檢測結(jié)果，所述訓練好的判別模型是利用正常特征樣本、惡意特征樣本和對抗樣本訓練得到的，所述正常特征樣本是從正常軟件樣本中提取的樣本，所述惡意特征樣本是從惡意軟件樣本中提取的樣本，所述對抗樣本是由包含所述判別模型的生成式對抗網(wǎng)絡(luò)中的生成模型對所述惡意特征樣本進行變換處理后獲得的。