[發明專利]一種宏程序的混淆檢測方法、裝置、電子設備和存儲介質

在審

• 申請號: 202110322284.6
• 申請日: 2021-03-25
• 公開（公告）號: CN113065132A
• 公開（公告）日: 2021-07-02
• 發明（設計）人: 閆華;位凱志;古亮
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 胡亮;張穎玲

1.一種宏程序的混淆檢測方法，其特征在于，所述方法包括：

對待檢測的宏程序的關鍵詞進行提取，得到惡意關鍵詞和正常關鍵詞；

分別使用第一標識和第二標識對所述惡意關鍵詞和所述正常關鍵詞進行替換，得到替換后的宏程序；

將所述替換后的宏程序轉換成目標圖片，輸入至預先訓練的檢測模型進行檢測，得到檢測結果。

2.根據權利要求1所述的方法，其特征在于，所述第一標識和所述第二標識的顏色、形狀和個數中至少一項存在區別。

3.根據權利要求1所述的方法，其特征在于，所述檢測結果用于指示所述待檢測的宏程序為正常宏程序或混淆宏程序。

4.根據權利要求1所述的方法，其特征在于，所述待檢測的宏程序包括VBA程序。

5.根據權利要求1所述的方法，其特征在于，所述對待檢測的宏程序的關鍵詞進行提取，包括：

使用詞頻-逆文本頻率指數TF-IDF算法對所述待檢測的宏程序的關鍵詞進行提取。

6.根據權利要求1所述的方法，其特征在于，所述對待檢測的宏程序的關鍵詞進行提取，包括：

在確定所述待檢測的宏程序的長度小于或等于設定長度的情況下，對所述待檢測的宏程序的關鍵詞進行提取。

7.根據權利要求1所述的方法，其特征在于，所述使用第一標識對所述惡意關鍵詞進行替換，包括：

基于不同惡意程度的惡意關鍵詞，使用不同的第一標識對所述惡意關鍵詞進行替換。

8.根據權利要求1至7任一項所述的方法，其特征在于，所述檢測模型是根據第一訓練數據集訓練得到的；所述第一訓練數據集包括：宏程序樣本和所述宏程序樣本的標簽信息。

9.一種檢測模型的訓練方法，其特征在于，所述方法包括：

獲取第一訓練數據集；所述第一訓練數據集包括：宏程序樣本和所述宏程序樣本的標簽信息；

對每個宏程序樣本的關鍵詞進行提取，得到所述每個宏程序樣本的惡意關鍵詞和正常關鍵詞；

分別使用第一標識和第二標識對所述每個宏程序樣本的惡意關鍵詞和正常關鍵詞進行替換，得到替換后的每個宏程序樣本；

將所述替換后的每個宏程序樣本轉換成對應的圖片樣本，通過每個圖片樣本和所述宏程序樣本的標簽信息對所述檢測模型進行訓練，得到初始檢測模型。

10.根據權利要求9所述的方法，其特征在于，在得到所述初始檢測模型后，所述方法還包括：

基于所述初始檢測模型的質量檢測結果，得到訓練完成的檢測模型；所述質量檢測結果包括所述混淆宏程序的檢出率和/或誤報率。

11.根據權利要求10所述的方法，其特征在于，所述基于所述初始檢測模型的質量檢測結果，得到訓練完成的檢測模型，包括：

判斷所述初始檢測模型的質量檢測結果是否達到設定要求，得到第一判斷結果；

在所述第一判斷結果為是的情況下，得到訓練完成的檢測模型；

在所述第一判斷結果為否的情況下，對所述初始檢測模型繼續進行訓練，得到訓練完成的檢測模型。

12.根據權利要求11所述的方法，其特征在于，所述對所述初始檢測模型繼續進行訓練，得到訓練完成的檢測模型，包括：

獲取漏報的混淆宏程序樣本，對所述漏報的混淆宏程序樣本進行第一變異操作，得到第一混淆宏程序樣本；和/或，

獲取誤報的混淆宏程序樣本，對所述誤報的混淆宏程序樣本進行第二變異操作，得到第二混淆宏程序樣本；

將所述第一訓練數據集與目標混淆宏程序樣本進行合并，得到第二訓練數據集；使用所述第二訓練數據集對所述檢測模型繼續進行訓練，得到訓練完成的檢測模型；所述目標混淆宏程序樣本包括：所述第一混淆宏程序樣本和/或第二混淆宏程序樣本。