[發(fā)明專利]基于語(yǔ)義分析和雙向編碼表征的惡意軟件檢測(cè)方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202310588930.2
• 申請(qǐng)日: 2023-05-24
• 公開(kāi)（公告）號(hào): CN116432184A
• 公開(kāi)（公告）日: 2023-07-14
• 發(fā)明（設(shè)計(jì)）人: 趙運(yùn)弢;馮永新;劉峻名
• 申請(qǐng)（專利權(quán)）人: 沈陽(yáng)理工大學(xué)
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F40/30;G06F16/35;G06F18/214;G06F18/2415;G06N3/0442;G06N3/045;G06N3/0464;G06N3/084
• 代理公司: 沈陽(yáng)東大知識(shí)產(chǎn)權(quán)代理有限公司 21109
• 代理人: 李在川

1.基于語(yǔ)義分析和雙向編碼表征的惡意軟件檢測(cè)方法，其特征在于，具體包括以下步驟：

步驟1：獲取惡意軟件數(shù)據(jù)集，以CSV文件形式保存，并提取出數(shù)據(jù)集中的API函數(shù)調(diào)用序列；

步驟2：采用BERT模型對(duì)步驟1獲取得到的API函數(shù)調(diào)用序列進(jìn)行詞向量化，以此生成詞嵌入類型的特征；

步驟3：構(gòu)建ConvLSTM神經(jīng)網(wǎng)絡(luò)架構(gòu)；

步驟4：訓(xùn)練優(yōu)化ConvLSTM神經(jīng)網(wǎng)絡(luò)架構(gòu)；

步驟5：對(duì)步驟4優(yōu)化后的ConvLSTM神經(jīng)網(wǎng)絡(luò)架構(gòu)進(jìn)行評(píng)估，測(cè)試惡意軟件檢測(cè)的效率和準(zhǔn)確性；

選擇三個(gè)用于分類問(wèn)題的評(píng)價(jià)指標(biāo)來(lái)評(píng)價(jià)ConvLSTM神經(jīng)網(wǎng)絡(luò)架構(gòu)，具體為準(zhǔn)確性、F1得分和損失值；

步驟6：搭建惡意軟件API調(diào)用序列檢測(cè)系統(tǒng)，可視化檢測(cè)結(jié)果；具體使用Python中用于構(gòu)建可視化界面的相關(guān)庫(kù)，搭建一個(gè)可視化系統(tǒng)平臺(tái)。

2.根據(jù)權(quán)利要求1所述的基于語(yǔ)義分析和雙向編碼表征的惡意軟件檢測(cè)方法，其特征在于，步驟1具體為：

首先下載惡意軟件數(shù)據(jù)集，該數(shù)據(jù)集中包含多個(gè)惡意軟件的基本信息，每個(gè)基本信息包含以下特征：sha256哈希值、標(biāo)簽、標(biāo)頭信息、導(dǎo)入函數(shù)庫(kù)、導(dǎo)出函數(shù)庫(kù)、節(jié)信息、字符串信息、滑動(dòng)窗口熵計(jì)算、鏈接器版本、提交大小、系統(tǒng)版本和子系統(tǒng)版本；其中導(dǎo)入函數(shù)庫(kù)里包含了惡意軟件API函數(shù)；

獲取完數(shù)據(jù)集后，針對(duì)每個(gè)惡意軟件的基本信息，使用Python第三方庫(kù)將每個(gè)惡意軟件的API函數(shù)從導(dǎo)入函數(shù)庫(kù)中分別提取出來(lái)，同時(shí)保留API函數(shù)在導(dǎo)入函數(shù)庫(kù)中的順序，得到由API函數(shù)組成的序列，即一個(gè)惡意軟件對(duì)應(yīng)一條API函數(shù)調(diào)用序列，最后將惡意軟件的家族名和它對(duì)應(yīng)的API函數(shù)調(diào)用序列兩個(gè)字段保存至CSV文件中。

3.根據(jù)權(quán)利要求1所述的基于語(yǔ)義分析和雙向編碼表征的惡意軟件檢測(cè)方法，其特征在于，步驟2所述BERT模型由多個(gè)Transformer層組成，基于雙向編碼表征的BERT模型會(huì)將每個(gè)惡意樣本的API函數(shù)調(diào)用序列視為具有上下文語(yǔ)義的文本語(yǔ)句進(jìn)行處理；步驟2具體為：

步驟2.1：首先對(duì)CSV文件中的惡意軟件API調(diào)用序列進(jìn)行Unicode標(biāo)準(zhǔn)化，然后對(duì)API調(diào)用序列進(jìn)行tokenize操作，將序列分成單個(gè)字符或者一些組合字符，接著采用分詞算法對(duì)tokenize后的文本進(jìn)行分詞；

步驟2.2：構(gòu)建BERT模型的輸入序列；對(duì)惡意軟件API調(diào)用序列添加一些特殊標(biāo)記，這些標(biāo)記包括[CLS]和[SEP]，其中[CLS]標(biāo)記表示該序列的開(kāi)始，[SEP]標(biāo)記則用于分隔不同的句子或段落；然后將添加完標(biāo)記的序列轉(zhuǎn)換成768維嵌入向量，并對(duì)每個(gè)嵌入向量添加位置編碼，表示每個(gè)API函數(shù)在調(diào)用序列中的位置接著使用特殊的[MASK]標(biāo)記去隨機(jī)替換添加完位置編碼的嵌入向量中某個(gè)具體API函數(shù)對(duì)應(yīng)的向量值；最后，將所有的嵌入向量組成多個(gè)批次，送入到Transformer模型中進(jìn)一步處理；

步驟2.3：對(duì)步驟2.2得到的所有嵌入向量添加多頭注意力機(jī)制。