[發(fā)明專利]基于深度殘差網(wǎng)絡(luò)和混合注意力機(jī)制的惡意代碼分類方法

在審

• 申請?zhí)枺?/td>: 202110800907.6
• 申請日: 2021-07-15
• 公開（公告）號: CN113468531A
• 公開（公告）日: 2021-10-01
• 發(fā)明（設(shè)計）人: 方景龍;陸洋;邵艷利;王興起;魏丹;陳濱
• 申請（專利權(quán)）人: 杭州電子科技大學(xué)
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 杭州君度專利代理事務(wù)所(特殊普通合伙) 33240
• 代理人: 楊舟濤

1.基于深度殘差網(wǎng)絡(luò)和混合注意力機(jī)制的惡意代碼分類方法，其特征在于，該方法具體包括以下步驟：

步驟1、獲取惡意代碼文件作為基礎(chǔ)數(shù)據(jù)集；

步驟2、將惡意代碼的.bytes文件和.asm文件轉(zhuǎn)換為RGBA圖像，具體操作如下：

步驟2-1：以讀取二進(jìn)制數(shù)據(jù)流的方式讀取惡意軟件的.bytes文件，每8bit對應(yīng)一個像素點(diǎn)的灰度值，按照長：寬等于1：1來生成灰度圖mgray，n＝sqrt(file.1ength)，若文件長度不足則進(jìn)行文件末位補(bǔ)零操作，以保證文件的完整性，再將灰度圖mgray縮放至224*224像素大小的灰度圖m′_gray，m′_gray∈R^224×224＝Image.resize((224,224)，Image.ANTIALIAS)；

步驟2-2：以讀取二進(jìn)制數(shù)據(jù)流的方式讀取惡意軟件的.asm文件，每8bit分別依次對應(yīng)一個像素點(diǎn)的R、G、B值，按照長：寬等于1：1來生成RGB圖m_rgb，n＝sqrt(file.1ength/3)，對文件長度不足的文件進(jìn)行末位補(bǔ)零操作，然后將RGB圖m_rgb縮放至224*224像素大小的RGB圖m′_rgb，m′_rgb∈R^3×224×224＝Image.resize((224，224)，Image.ANTIALIAS)；

步驟2-3：將灰度圖的灰度值作為RGBA圖像的透明度通道，與.asm文件生成的RGB圖像相互融合，形成RGBA圖，m_rgba∈R^4×224×224；

步驟3、融合注意力機(jī)制與深度殘差網(wǎng)絡(luò)，構(gòu)建惡意代碼分類模型，實(shí)現(xiàn)惡意代碼的分類，具體操作如下：

惡意代碼分類模型使用ResNet50殘差網(wǎng)絡(luò)作為骨干網(wǎng)絡(luò)，并融合了注意力機(jī)制，將該模型記為Mcs-ResNet；Mcs-ResNet共包含5個卷積部分conv1~conv5，在其conv2、conv3、conv4和conv5卷積部分的殘差單元后添加混合注意力模塊形成conv2_x，conv3_x，conv4_x，conv5_x，以確保混合注意力模塊與深度殘差網(wǎng)絡(luò)的充分融合，進(jìn)一步增強(qiáng)深層特征的挖掘；

步驟3-1：在分類模型中加入通道注意力模塊；

讓中間特征矩陣分別通過基于空間維度的平均池化和最大池化得到兩個的通道描述，以壓縮輸入特征矩陣的空間維度并聚集空間信息；然后，通過共享網(wǎng)絡(luò)多層感知機(jī)的調(diào)整，輸出的向量維度應(yīng)與中間特征矩陣通道數(shù)相匹配，將調(diào)整后的各個向量元素相加，并通過Sigmoid函數(shù)激活；最后將通道注意力模塊輸出矩陣與輸入中間特征矩陣逐通道加權(quán)求和，完成對卷積輸出特征矩陣通道注意力的運(yùn)算；

步驟3-2：在分類模型中加入空間注意力模塊；

將上一層卷積的輸出特征矩陣作為中間輸入特征，分別進(jìn)行基于通道維度的平均池化和最大池化得到兩個的空間描述矩陣；將兩個空間描述矩陣合并成一個特征矩陣，并通過卷積層的作用生成一個二維空間注意力圖，以更好地擬合空間復(fù)雜相關(guān)性；

通過通道注意力模塊和空間注意力模塊對RGBA圖像的重點(diǎn)區(qū)域進(jìn)行強(qiáng)調(diào)，達(dá)到增強(qiáng)惡意代碼圖像分類準(zhǔn)確率的效果，最終實(shí)現(xiàn)惡意代碼的有效分類。

2.根據(jù)權(quán)利要求1所述的基于深度殘差網(wǎng)絡(luò)和混合注意力機(jī)制的惡意代碼分類方法，其特征在于：步驟1中獲取惡意代碼文件作為基礎(chǔ)數(shù)據(jù)集，具體操作如下：

從公開數(shù)據(jù)集網(wǎng)站中獲取惡意代碼數(shù)據(jù)集，包括惡意代碼的.bytes文件和.asm文件；若惡意代碼數(shù)據(jù)集中已經(jīng)包含這兩種惡意代碼文件即可直接使用；如果惡意代碼數(shù)據(jù)集中僅包含轉(zhuǎn)換后的惡意代碼圖像，則需要通過將其反向操作獲取.bytes文件，再利用IDA pro工具對.bytes文件進(jìn)行反匯編操作獲取.asm文件；對于任意數(shù)據(jù)集執(zhí)行類似操作獲取惡意代碼的.bytes文件和.asm文件。