[發明專利]一種基于生成對抗網絡的惡意文件智能分析方法

有效

• 申請號: 202110339736.1
• 申請日: 2021-03-30
• 公開（公告）號: CN113221109B
• 公開（公告）日: 2022-06-28
• 發明（設計）人: 朱添田;李曜晟
• 申請（專利權）人: 浙江工業大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 楊天嬌

1.一種基于生成對抗網絡的惡意文件智能分析方法，其特征在于，所述基于生成對抗網絡的惡意文件智能分析方法，包括：

步驟1、獲取應用數據集，所述應用數據集中包含正常文件和惡意文件，取惡意文件和正常文件經沙箱程序模擬運行得到惡意文件和正常文件的API序列；

步驟2、提取惡意文件和正常文件的API序列的特征向量，所述特征向量包括全局特征、局部組合特征、高階局部特征和2-gram局部特征；

步驟3、基于惡意文件和正常文件的API序列生成惡意樣本API序列，包括：

步驟3.1、取惡意文件的API序列的特征向量，將惡意文件的API序列的特征向量和服從均勻分布的噪聲向量串聯作為輸入對象；

步驟3.2、將步驟3.1得到的輸入對象輸入至生成模型中，由生成模型生成惡意樣本API序列；

步驟3.3、將步驟3.2生成的惡意樣本API序列輸入至檢測模型中，并將正常文件的API序列作為良性樣本API序列同時輸入至檢測模型中；

步驟3.4、檢測模型對輸入的惡意樣本API序列和良性樣本API序列進行檢測，并將檢測結果發送至判別模型；

步驟3.5、判別模型根據檢測模型輸出的檢測結果比較惡意樣本API序列和良性樣本API序列的特征分布并反饋至生成模型用于生成模型更新模型參數；

步驟3.6、重復執行步驟3.1至步驟3.5直至檢測模型檢測輸入的惡意樣本API序列和良性樣本API序列均為良性樣本API序列，保存此時的生成模型，并利用保存的生成模型對應用數據集中的惡意文件的API序列的特征向量生成惡意樣本API序列；

步驟4、取應用數據集中的惡意文件和正常文件的API序列、步驟3得到的惡意樣本API序列對檢測模型進行訓練，直至檢測模型的檢測結果達到預設的準確度，得到最終的檢測模型；

步驟5、利用最終得到的檢測模型對待分析文件進行分析，輸出待分析文件為正常文件或惡意文件的檢測結果。

2.如權利要求1所述的基于生成對抗網絡的惡意文件智能分析方法，其特征在于，所述全局特征包括：全部的API的個數、不相同API的個數；全部線程編號的個數、不相同的線程編號個數、最大的線程編號、最小的線程編號、線程編號分位數、線程編號方差、線程編號中位數；全部返回值的個數、不相同的返回值個數、返回值個數最大值、返回值個數最小值、返回值個數分位數、返回值個數方差、返回值個數中位數；全部的調用順序編號的數量、不相同的調用順序編號的數量、調用順序編號最大值、調用順序編號最小值、調用順序編號分位數、調用順序編號方差、調用順序編號中位數；

所述局部組合特征包括：每個API調用的線程編號的個數、不相同線程編號的個數；每個API的返回值的不相同的個數、最大值、最小值、中位數、方差；每個API調用的順序編號的不相同的數量、最大值、最小值、中位數、方差；每個順序編號調用的API的個數、不相同API的個數；每個順序編號對應的API返回值的不相同的個數、最大值、最小值、中位數、方差；每個順序編號對應的線程編號的不相同的個數、最大值、最小值、中位數、方差；

所述高階局部特征包括：每個API調用的線程編號的返回值的不同個數、最大值、最小值、中位數、方差；每個API調用的線程編號對應的順序序號的不同個數、最大值、最小值、中位數、方差；

所述2-gram局部特征包括：每對相鄰API調用的線程個數、不相同的個數；每對相鄰API的返回值的不相同的個數、最大值、最小值、中位數、方差；每對相鄰API的調用順序編號的不相同的個數、最大值、最小值、中位數、方差。

3.如權利要求1所述的基于生成對抗網絡的惡意文件智能分析方法，其特征在于，所述生成模型和判別模型分別為GAN模型中的生成器和鑒別器，所述檢測模型為隨機森林模型。