[發(fā)明專利]一種檢測(cè)惡意軟件的方法、裝置、存儲(chǔ)介質(zhì)和電子設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 202011384531.7
• 申請(qǐng)日: 2020-11-30
• 公開（公告）號(hào): CN112380537A
• 公開（公告）日: 2021-02-19
• 發(fā)明（設(shè)計(jì)）人: 黃娜;李建國;余小軍
• 申請(qǐng)（專利權(quán)）人: 北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06K9/62;G06N3/08
• 代理公司: 北京超凡宏宇專利代理事務(wù)所(特殊普通合伙) 11463
• 代理人: 衡滔

本申請(qǐng)實(shí)施例提供一種檢測(cè)惡意軟件的方法、裝置、存儲(chǔ)介質(zhì)和電子設(shè)備，該方法包括：從待檢測(cè)軟件中提取待檢測(cè)特征；利用訓(xùn)練好的判別模型對(duì)待檢測(cè)特征進(jìn)行檢測(cè)，以得到用于確定軟件是否為惡意軟件的檢測(cè)結(jié)果，訓(xùn)練好的判別模型是利用正常特征樣本、惡意特征樣本和對(duì)抗樣本訓(xùn)練得到的，正常特征樣本是從正常軟件樣本中提取的樣本，惡意特征樣本是從惡意軟件樣本中提取的樣本，對(duì)抗樣本是由包含判別模型的生成式對(duì)抗網(wǎng)絡(luò)中的生成模型對(duì)惡意特征樣本進(jìn)行變換處理后獲得的。借助于上述技術(shù)方案，本申請(qǐng)實(shí)施例能夠提高檢測(cè)效率和魯棒性。

技術(shù)領(lǐng)域

本申請(qǐng)涉及軟件檢測(cè)技術(shù)領(lǐng)域，尤其涉及一種檢測(cè)惡意軟件的方法、裝置、存儲(chǔ)介質(zhì)和電子設(shè)備。

背景技術(shù)

惡意軟件是指在計(jì)算機(jī)或者終端上執(zhí)行惡意操作的應(yīng)用程序。在計(jì)算機(jī)或者終端安裝惡意軟件之后，惡意軟件會(huì)進(jìn)行惡意扣費(fèi)、發(fā)送欺詐信息或竊取用戶個(gè)人信息等操作，嚴(yán)重影響安全性。因此，惡意軟件的檢測(cè)是十分必要的。

在相關(guān)技術(shù)中，通過字符串特征碼和人工規(guī)則的啟發(fā)式來檢測(cè)惡意軟件。但是，這種檢測(cè)惡意軟件的方法嚴(yán)重依賴于分析師的能力，需要分析師針對(duì)已有軟件樣本進(jìn)行人工分析，找出相應(yīng)的特征，從而存在著檢測(cè)效率比較低的問題。

發(fā)明內(nèi)容

本申請(qǐng)實(shí)施例的目的在于提供一種檢測(cè)惡意軟件的方法、裝置、存儲(chǔ)介質(zhì)和電子設(shè)備，以提高檢測(cè)效率。

第一方面，本申請(qǐng)實(shí)施例提供了一種檢測(cè)惡意軟件的方法，該方法包括：從待檢測(cè)軟件中提取待檢測(cè)特征；利用訓(xùn)練好的判別模型對(duì)待檢測(cè)特征進(jìn)行檢測(cè)，以得到用于確定軟件是否為惡意軟件的檢測(cè)結(jié)果，訓(xùn)練好的判別模型是利用正常特征樣本、惡意特征樣本和對(duì)抗樣本訓(xùn)練得到的，正常特征樣本是從正常軟件樣本中提取的樣本，惡意特征樣本是從惡意軟件樣本中提取的樣本，對(duì)抗樣本是由包含判別模型的生成式對(duì)抗網(wǎng)絡(luò)中的生成模型對(duì)惡意特征樣本進(jìn)行變換處理后獲得的。

因此，本申請(qǐng)實(shí)施例通過從待檢測(cè)軟件中提取待檢測(cè)特征后，可以通過訓(xùn)練好的判別模型對(duì)待檢測(cè)特征進(jìn)行檢測(cè)，以確定待檢測(cè)軟件是否為惡意軟件，從而相比于現(xiàn)有的惡意軟件的檢測(cè)方法，其可提高檢測(cè)效率。

此外，本申請(qǐng)實(shí)施例通過由生成模型對(duì)惡意特征樣本進(jìn)行變換處理后生成的對(duì)抗樣本，并且可利用判別模型來不斷防御對(duì)抗樣本，從而可提高判別模型的魯棒性。

在一個(gè)可能的實(shí)施例中，在利用訓(xùn)練好的判別模型對(duì)待檢測(cè)特征進(jìn)行檢測(cè)之前，方法還包括：固定初始判別模型的參數(shù)，根據(jù)初始判別模型輸出的檢測(cè)結(jié)果對(duì)初始生成模型進(jìn)行訓(xùn)練，以得到訓(xùn)練后的生成模型，并由訓(xùn)練后的生成模型對(duì)惡意特征樣本進(jìn)行變換處理，以獲得對(duì)抗樣本，檢測(cè)結(jié)果是在固定初始生成模型的參數(shù)的情況下，由初始判別模型對(duì)正常特征樣本、惡意特征樣本或者對(duì)抗樣本進(jìn)行檢測(cè)后獲得的；固定優(yōu)化后的生成模型的參數(shù)，利用對(duì)抗樣本對(duì)初始判別模型進(jìn)行訓(xùn)練，以獲得訓(xùn)練好的判別模型。

因此，借助于上述技術(shù)方案，本申請(qǐng)實(shí)施例可通過訓(xùn)練生成式對(duì)抗網(wǎng)絡(luò)來獲得訓(xùn)練好的判別模型，并且在訓(xùn)練生成式對(duì)抗網(wǎng)絡(luò)的過程中，可通過生成模型和判別模型之間的對(duì)抗學(xué)習(xí)來提高判別模型的魯棒性。

在一個(gè)可能的實(shí)施例中，由訓(xùn)練后的生成模型對(duì)惡意特征樣本進(jìn)行變換處理，包括：根據(jù)公式對(duì)惡意特征樣本進(jìn)行進(jìn)行變換處理；其中，表示第m個(gè)對(duì)抗樣本，x_m表示第m個(gè)惡意特征樣本，w_m表示第m個(gè)惡意特征樣本對(duì)應(yīng)的權(quán)重，b_m表示第m個(gè)惡意特征樣本對(duì)應(yīng)的偏移量，m為正整數(shù)。

在一個(gè)可能的實(shí)施例中，根據(jù)初始判別模型輸出的檢測(cè)結(jié)果對(duì)初始生成模型進(jìn)行訓(xùn)練，包括：利用檢測(cè)結(jié)果對(duì)初始生成模型的第一目標(biāo)函數(shù)進(jìn)行優(yōu)化，第一目標(biāo)函數(shù)為：

其中，L₁表示第一目標(biāo)函數(shù)值，S_Malicious為惡意軟件樣本庫，y_m表示第m個(gè)惡意特征樣本對(duì)應(yīng)的類型標(biāo)記，表示第m個(gè)對(duì)抗樣本對(duì)應(yīng)的檢測(cè)結(jié)果。