[發(fā)明專利]一種惡意代碼檢測方法、系統(tǒng)、設(shè)備及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202011532274.7
• 申請(qǐng)日: 2020-12-22
• 公開（公告）號(hào): CN112597495B
• 公開（公告）日: 2021-07-30
• 發(fā)明（設(shè)計(jì)）人: 趙大偉;吳曉明;楊美紅;徐麗娟;張磊;楊淑棉;唐勇偉;陳川;周洋
• 申請(qǐng)（專利權(quán)）人: 山東省計(jì)算中心（國家超級(jí)計(jì)算濟(jì)南中心）
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06K9/62;G06N3/04
• 代理公司: 濟(jì)南金迪知識(shí)產(chǎn)權(quán)代理有限公司 37219
• 代理人: 許德山

本發(fā)明涉及一種惡意代碼檢測方法、系統(tǒng)、設(shè)備及存儲(chǔ)介質(zhì)。該方法包括；(1)訓(xùn)練階段：利用已知軟件樣本訓(xùn)練多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型；(2)檢測階段：利用訓(xùn)練階段訓(xùn)練好的多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型對(duì)未知軟件樣本進(jìn)行檢測。本發(fā)明可以將任意不同大小的軟件樣本轉(zhuǎn)換為相同大小的灰度圖像，便于應(yīng)用于卷積神經(jīng)網(wǎng)絡(luò)；本發(fā)明同時(shí)使用了API函數(shù)調(diào)用序列、指令序列、字節(jié)流三個(gè)典型特征，克服了單一特征檢測的局限，本發(fā)明多模態(tài)深度學(xué)習(xí)將靜態(tài)特征與動(dòng)態(tài)特征進(jìn)行融合決策，能獲得更全面且準(zhǔn)確的惡意代碼檢測結(jié)果。

技術(shù)領(lǐng)域

本發(fā)明屬于軟件安全防護(hù)技術(shù)領(lǐng)域，涉及一種惡意代碼檢測方法、系統(tǒng)、設(shè)備及存儲(chǔ)介質(zhì)。

背景技術(shù)

隨著網(wǎng)絡(luò)信息技術(shù)的不斷發(fā)展，惡意代碼已成為網(wǎng)絡(luò)空間安全領(lǐng)域面臨的最重要威脅之一，特別是變種、混淆、加殼、加密等手段的應(yīng)用，對(duì)惡意代碼檢測技術(shù)提出了更高的要求。機(jī)器學(xué)習(xí)已被廣泛應(yīng)用于惡意代碼檢測，但是傳統(tǒng)的基于機(jī)器學(xué)習(xí)的惡意代碼檢測技術(shù)嚴(yán)重依賴于特征工程，需要依據(jù)大量專家知識(shí)構(gòu)建能有效表征惡意代碼行為的特征，然后使用分類器進(jìn)行檢測。近年來，隨著深度學(xué)習(xí)技術(shù)的發(fā)展，出現(xiàn)了大量端到端的惡意代碼檢測方法，端到端的檢測方法將特征提取與分類整合成一個(gè)學(xué)習(xí)過程，避免了特征難構(gòu)建及需要人工參與的不足。

目前，使用灰度圖表示惡意代碼，然后利用深度神經(jīng)網(wǎng)絡(luò)進(jìn)行端到端檢測受到廣泛關(guān)注，但是由于不同惡意代碼大小差異顯著，如何將不同大小的惡意代碼轉(zhuǎn)換為相同大小的灰度圖像，進(jìn)而更好的應(yīng)用深度神經(jīng)網(wǎng)絡(luò)進(jìn)行檢測是亟需解決的一個(gè)重要問題。同時(shí)，如何同時(shí)使用不同的特征對(duì)惡意代碼進(jìn)行表示，然后使用合適的深度學(xué)習(xí)框架以便獲得更好的檢測效果也是惡意代碼檢測領(lǐng)域面臨的重要難題。

發(fā)明內(nèi)容

針對(duì)現(xiàn)有技術(shù)的不足，本發(fā)明提供了一種惡意代碼檢測方法；

本發(fā)明還提供了一種惡意代碼檢測系統(tǒng)、計(jì)算機(jī)存儲(chǔ)設(shè)備及存儲(chǔ)介質(zhì)。

術(shù)語解釋：

軟件動(dòng)態(tài)分析和靜態(tài)分析方法，軟件靜態(tài)分析是指不執(zhí)行軟件程序，通過反匯編等方式獲得字符串、操作碼、頭文件和控制流圖等靜態(tài)特征；動(dòng)態(tài)分析是指在沙箱或虛擬機(jī)等受控環(huán)境中執(zhí)行軟件程序并記錄它在系統(tǒng)中完成的操作，包括函數(shù)調(diào)用、注冊(cè)表模式、軟件行為和網(wǎng)絡(luò)活動(dòng)等。

本發(fā)明的技術(shù)方案為：

一種惡意代碼檢測方法，該方法包括；

(1)訓(xùn)練階段：利用已知軟件樣本訓(xùn)練多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型；

(2)檢測階段：利用訓(xùn)練階段訓(xùn)練好的多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型對(duì)未知軟件樣本進(jìn)行檢測。

根據(jù)本發(fā)明優(yōu)選的，步驟(1)，利用已知軟件樣本訓(xùn)練多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型，包括步驟如下：

步驟1.1：提取已知軟件樣本的API函數(shù)調(diào)用序列、指令序列、字節(jié)流；

步驟1.2：分別將提取的已知軟件樣本的API函數(shù)調(diào)用序列、指令序列、字節(jié)流轉(zhuǎn)換成相應(yīng)的灰度圖像；

步驟1.3：使用步驟1.2中得到的由API函數(shù)調(diào)用序列、指令序列、字節(jié)流轉(zhuǎn)換成的灰度圖像訓(xùn)練多模態(tài)深度神經(jīng)網(wǎng)絡(luò)模型。

根據(jù)本發(fā)明優(yōu)選的，步驟1.1，提取已知軟件樣本的API函數(shù)調(diào)用序列、指令序列、字節(jié)流，包括步驟如下：