CN113742727A - 程序识别模型训练和程序识别方法、装置、设备及介质 - Google Patents

程序识别模型训练和程序识别方法、装置、设备及介质 Download PDF

Info

Publication number
CN113742727A
CN113742727A CN202110997708.9A CN202110997708A CN113742727A CN 113742727 A CN113742727 A CN 113742727A CN 202110997708 A CN202110997708 A CN 202110997708A CN 113742727 A CN113742727 A CN 113742727A
Authority
CN
China
Prior art keywords
program
information
character string
name
package name
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110997708.9A
Other languages
English (en)
Inventor
范乙琛
卿润东
梁彧
傅强
阿曼太
蔡琳
杨满智
田野
王杰
金红
陈晓光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Eversec Beijing Technology Co Ltd
Original Assignee
Eversec Beijing Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Eversec Beijing Technology Co Ltd filed Critical Eversec Beijing Technology Co Ltd
Priority to CN202110997708.9A priority Critical patent/CN113742727A/zh
Publication of CN113742727A publication Critical patent/CN113742727A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Computation (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Evolutionary Biology (AREA)
  • Medical Informatics (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明实施例公开了一种程序识别模型训练和程序识别方法、装置、设备及介质。其中，程序识别模型训练方法包括：获取各样本程序的目标特征信息；目标特征信息包括行为特征信息和程序包名信息；根据行为特征信息获取各样本程序的程序行为特征，并将程序行为特征确定为样本训练数据；获取程序包名信息的字符串随机性，得到各样本程序的包名随机性特征，并将包名随机性特征确定为样本训练数据；将样本训练数据输入至程序识别模型以对程序识别模型进行训练。本发明实施例可以基于机器学习方法实现对应用程序的多角度特征提取和识别，提高恶意程序检测的效率和准确率。

Description

程序识别模型训练和程序识别方法、装置、设备及介质
技术领域
本发明实施例涉及计算机技术领域，尤其涉及一种程序识别模型训练和程序识别方法、装置、设备及介质。
背景技术
在现有技术中，针对恶意程序的识别通常可以通过对程序的API(ApplicationProgramming Interface，应用程序接口)调用、权限和开机启动项等静态特征进行判别，或通过对程序的调用序列、注册表行为和文件行为等动态特征进行判别，还可以通过对程序的内部信息进行获取并与数据库中已有的恶意信息进行匹配的方式进行判别。
但现有技术所提供的上述方法仅利用简单特征的判别进行恶意程序识别，无法实现对应用程序的多角度特征提取和判别，恶意程序识别的效率和准确率较低。
发明内容
本发明实施例提供一种程序识别模型训练和程序识别方法、装置、设备及介质，以基于机器学习方法实现对应用程序的多角度特征提取和判别，提高恶意程序识别的效率和准确率。
第一方面，本发明实施例提供了一种程序识别模型训练方法，包括：
获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；
获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；
将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
第二方面，本发明实施例还提供了一种程序识别方法，包括：
获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；
获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；
将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
第三方面，本发明实施例还提供了一种程序识别模型训练装置，包括：
样本信息获取模块，用于获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
样本行为特征获取模块，用于根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；
样本包名特征获取模块，用于获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；
程序识别模型训练模块，用于将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
第四方面，本发明实施例还提供了一种程序识别装置，包括：
待识别信息获取模块，用于获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
待识别行为特征获取模块，用于根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；
待识别包名特征获取模块，用于获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；
程序识别模块，用于将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
第五方面，本发明实施例还提供了一种计算机设备，所述计算机设备包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序；
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明任意实施例所提供的程序识别模型训练方法或程序识别方法。
第六方面，本发明实施例还提供了一种计算机存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任意实施例所提供的程序识别模型训练方法或程序识别方法。
本发明实施例通过获取样本程序的行为特征信息和程序包名信息，根据行为特征信息获取各样本程序的程序行为特征，并根据程序包名信息获取各样本程序的包名随机性特征，从而将程序行为特征和包名随机性特征作为样本训练数据输入至程序识别模型以对其进行训练，以得到基于多特征进行恶意程序检测的模型，基于机器学习方法实现对应用程序的多角度特征提取和判别，提高恶意程序识别的效率和准确率。
附图说明
图1为本发明实施例一提供的一种程序识别模型训练方法的流程图。
图2为本发明实施例二提供的一种程序识别模型训练方法的流程图。
图3为本发明实施例二提供的一种包名特征提取模型的结构示意图。
图4为本发明实施例二提供的一种程序识别模型训练方法的流程示意图。
图5为本发明实施例三提供的一种程序识别方法的流程图。
图6为本发明实施例四提供的一种程序识别模型训练装置的结构示意图。
图7为本发明实施例五提供的一种程序识别装置的结构示意图。
图8为本发明实施例六提供的一种计算机设备的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。
另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部内容。在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。
实施例一
图1是本发明实施例一提供的一种程序识别模型训练方法的流程图，本实施例可适用于训练模型以使其可以用于识别恶意程序的情况，该方法可以由本发明实施例提供的程序识别模型训练装置来执行，该装置可以由软件和/或硬件的方式来实现，并一般可集成在计算机设备中。相应的，如图1所示，该方法包括如下操作：
S110、获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息。
其中，样本程序可以是恶意程序或非恶意程序，样本程序的数量可以根据需要预先设定。目标特征信息可以是描述任意可以用于区别恶意程序与非恶意程序的特征的信息。行为特征信息可以包括程序的行为所产生的信息，可以用于反映程序的行为。程序包名信息可以是程序的包名。
相应的，可以根据需要预先获取足够数量的样本程序，可以包括一定数量的恶意程序和一定数量的非恶意程序。在各样本程序中，可以通过任意方式获取其行为特征信息，例如可以包括对样本程序进行反编译，以获取样本程序的应用程序组件、权限、API等静态特征信息；也可以包括在样本程序运行的过程中获取其日志信息、文件访问和数据库等动态特征信息。
进一步的，任意程序的程序包名信息唯一，且不同于其他程序的程序包名信息，可以作为程序的识别信息。因此，为了避免与其他程序的程序包名信息重复，程序包名信息中可以包含域名，且其可以包含大写字母A～Z、小写字母a～z、数字和下划线，可以用英文句号分隔，隔开的每一段都以字母开头。
示例性的，程序包名信息通常情况下可以将域名反转过来作为前缀，例如域名是“zan.com”，那么包名可以用“com.zan”作为开头，并在后面增加描述程序的字符，例如程序是视频应用程序，则程序包名信息可以为com.zan.video；如果没有域名，也可以使用反转后的邮箱作为前缀，比如“com.163.WoDeYou”。
然而，在恶意程序中，程序包名信息中通常包括随机生成的字符串，以隐藏恶意程序开发者的真实信息，例如包名“com.kmhnzcwwy.fpklvbjxddtcxdx”，取出首个通用字符串“com”后，剩下两个字符串“kmhnzcwwy”和“fpklvbjxddtcxdx”均为随机生成的无序、无意义字符串。
S120、根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据。
其中，程序行为特征可以是根据恶意程序与非恶意程序之间的行为差异，对行为特征信息所反映的程序的行为进行判别得到的特征。样本训练数据可以是用于模型训练的数据。
相应的，根据行为特征信息可以得知各样本程序的行为，从而可以对样本程序的各行为进行判别，得到其程序行为特征。
示例性的，可以在确定行为特征信息所反映的样本程序的行为符合恶意程序的行为特征的情况下，将样本程序的程序行为特征确定为特征值1；在确定行为特征信息所反映的样本程序的行为符合非恶意程序的行为特征的情况下，将样本程序的程序行为特征确定为特征值 0。
S130、获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据。
其中，字符串随机性可以是描述字符串是否为随机生成的信息。包名随机性特征可以是对程序的包名中是否包含随机生成的字符串进行判别得到的特征。
相应的，可以通过判别程序包名信息是否包含随机生成的字符串，得到程序包名信息的字符串随机性。对于任意样本程序，其程序包名信息包含随机生成的字符串时，可以说明其包名随机性特征为包名随机；其程序包名信息不包含随机生成的字符串，而是具有特定意义的字符串时，可以说明其包名随机性特征为包名非随机。可选的，可以将包名随机确定为特征值1，将包名非随机确定为特征值0。
需要说明的是，S120与S130之间的执行顺序不做限定，可以先后执行或同时执行，且均可以在S110之后、S140之前执行。
S140、将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
其中，程序识别模型可以是用于识别恶意程序的模型。
相应的，将全部样本程序的程序行为特征和包名随机性特征作为样本训练数据，可以对程序识别模型进行训练，以使训练完成后的程序识别模型可以根据输入的程序的程序行为特征和包名随机性特征确定该程序是否为恶意程序。
相应的，程序识别模型可以是CatBoost模型。
其中，表1为本发明实施例提供的程序识别模型的训练效果记录表，其中记载了采用样本程序的静态特征和包名随机性特征作为样本训练数据，对不同类型的程序识别模型进行训练的accuracy(准确度)、precision(精确度)和recall(召回率)。如表1所示，在使用了包括CatBoost、XGBoost、LightGBM、逻辑回归、MLP(Multilayer Perceptron，多层感知器)， KNN(K-NearestNeighbor，最邻近节点算法)以及随机森林算法等算法的测试中，CatBoost 模型不论是最终的测试正确率还是训练效率都是最优的，因此选用CatBoost模型作为程序识别模型。
表1
Figure BDA0003234637500000061
本发明实施例提供了一种程序识别模型训练方法，通过获取样本程序的行为特征信息和程序包名信息，根据行为特征信息获取各样本程序的程序行为特征，并根据程序包名信息获取各样本程序的包名随机性特征，从而将程序行为特征和包名随机性特征作为样本训练数据输入至程序识别模型以对其进行训练，以得到基于多特征进行恶意程序检测的模型，基于机器学习方法实现对应用程序的多角度特征提取和判别，提高恶意程序识别的效率和准确率。
实施例二
图2为本发明实施例二提供的一种程序识别模型训练方法的流程图。本发明实施例以上述实施例为基础进行具体化，在本发明实施例中，给出了获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征的具体可选的实现方式。
如图2所示，本发明实施例的方法具体包括：
S210、获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息。
S220、根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据。
S230、获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据。
在本发明的一个可选实施例中，S230具体可以包括：
S231、根据已知包名字符串获取各所述程序包名信息的包名字符串特征。
其中，已知包名字符串可以包括确定可以作为包名的字符串和/或确定不可以作为包名的字符串。包名字符串特征可以是根据已知包名字符串的字符排列规律，对程序包名信息所符合的字符排列规律进行判别得到的特征，可以描述字符串是否符合根据已知包名字符串确定的程序包名应符合的字符排列规律。
相应的，通过已知包名字符串可以确定包名应符合的字符排列规律，从而可以根据程序包名信息是否符合该字符排列规律，确定程序包名信息的包名字符串特征。
可选的，已知包名字符串可以包括搜集的一定数量的非恶意程序的包名和英文单词，以及根据非恶意程序的包名和英文单词进行随机编码合成的一定数量的随机字符串。
在本发明的一个可选实施例中，所述根据已知包名字符串获取所述程序包名信息的包名字符串特征，可以包括：将所述程序包名信息输入至预先训练的包名特征提取模型，得到所述包名特征提取模型输出的所述包名字符串特征。
其中，所述包名特征提取模型为采用所述已知包名字符串作为样本进行训练得到的，用于获取输入信息的所述包名字符串特征。
相应的，可以利用包名特征提取模型获取程序包名信息的包名字符串特征。包名特征提取模型可以是任意机器学习模型，采用已知包名字符串作为样本对其预先训练，可以使其学习已知包名字符串的字符排列规律，从而根据学习到的已知包名字符串的字符排列规律，对输入信息的包名字符串特征进行获取。
在本发明的一个可选实施例中，在所述根据已知包名字符串获取所述程序包名信息的包名字符串特征之前，还可以包括：获取第一预设数量的已知包名字符串；对各所述已知包名字符串的包名字符串特征进行特征标记；将所述特征标记后的所述已知包名字符串作为样本输入至包名特征提取模型中，对所述包名特征提取模型进行训练。
其中，训练完成的包名特征提取模型用于提取所述程序包名信息的包名字符串特征。
具体的，第一预设数量可以是对包名特征提取模型进行训练所需要的样本总数量，可以根据需要确定，在此不做限定。特征标记可以是在各已知包名字符串中标记出其相应的包名字符串特征的操作。
相应的，采用已知包名字符串作为样本对包名特征提取模型进行训练，以使包名特征提取模型可以学习已知包名字符串中各字符串的字符排列规律及其对应的包名字符串特征，从而在包名特征提取模型中输入任意字符串时，其可以输出该字符串的包名字符串特征，即可以确定输入的字符串是否符合根据已知包名字符串确定的程序包名应符合的特征。
示例性的，若确定非恶意程序的包名可以采用现有的英文单词或符合英文单词拼写规律的原创单词，例如程序运营商的英文域名或名称，则训练完成的包名特征提取模型可以判断输入的字符串是否符合英文单词拼写规律，从而输出相应的包名字符串特征。
在本发明的一个可选实施例中，所述获取第一预设数量的已知包名字符串，可以包括：获取第二预设数量的合法包名字符串；对所述合法包名字符串进行随机编码处理，得到所述第二预设数量的随机字符串；将所述合法包名字符串和所述随机字符串确定为所述已知包名字符串；所述对各所述已知包名字符串的包名字符串特征进行特征标记，包括：在所述合法包名字符串中标记出合法包名字符串特征；在所述随机字符串中标记出非法包名字符串特征。
其中，第二预设数量可以是第一预设数量的一半，可以根据第一预设数量确定。合法包名字符串可以是确定可以作为应用程序包名的字符串。随机编码处理可以是根据字符串生成随机字符串的操作。随机字符串可以是确定不可以作为应用程序包名的字符串，其不符合任何特定的字符排列规律。合法包名字符串特征可以用于描述字符串符合合法包名字符串的字符排列规律。非法包名字符串特征可以描述字符串不符合合法包名字符串的字符排列规律。
相应的，通过获取第二预设数量的合法包名字符串，再通过对合法包名字符串进行随机编码处理得到第二预设数量的随机字符串，可以得到黑白样本各占一半的训练样本，从而可以利用该样本对模型进行训练，以使模型根据合法包名字符串和随机字符串及其标记，对其各自对应的包名字符串特征进行学习。
可选的，包名特征提取模型可以是Bi-LSTM(Bidirectional Long Short TermMemory，双向长短时记忆)模型。
示例性，图3为本发明实施例提供的一种包名特征提取模型的结构示意图。如图3所示，首先是Input_layer(输入层)，可以将每条训练样本加载进模型。其次是Embedding(嵌入层)，可以将每一个词、每一个字母映射为词向量。例如单词Apple，在这里进行Embedding时， Apple的每一个字母都变为一个100维的向量，最终整个单词变为一个5*100维的向量。 Bi-LSTM模型可以结合输入样本在前向和后向两个方向上的信息进行训练。Dropout(丢弃层)是在训练过程中丢弃一部分神经元，目的是防止过拟合现象，可选的，Dropout的值设置为0.5。Dense(全连接层)用于在得到输出向量后，将向量铺平展开进入全连接层，而后经过Activation(激活层)的激活函数TANH后得到最终的Output(输出)，将Output结果经过Softmax函数(归一化指数函数)即可得到其包名字符串特征。
可选的，第二预设数量的合法包名字符串可以包括50万个包名子字符串、英文单词和各大公司采用的包名，而后对数据进行合成，根据随机编码生成50万个随机字符串，共计得到100万已知包名字符串作为样本。
S232、判断所述包名字符串特征是否为合法包名字符串特征，若是，则可以执行S233，否则，可以执行S234。
S233、确定所述程序包名信息为非随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名非随机。
其中，合法包名字符串特征可以描述字符串符合根据已知包名字符串确定的程序包名应符合的字符排列规律。包名非随机可以描述程序的包名不包含随机生成的字符串。
相应的，若包名字符串特征为合法包名字符串特征，则可以说明程序包名信息符合根据已知包名字符串确定的程序包名应符合的字符排列规律，可以确定其为非随机字符串，从而可以确定其对应的样本程序的包名不包含随机生成的字符串，即其包名随机性特征为包名非随机。
S234、确定所述程序包名信息为随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名随机。
其中，若包名字符串特征不是合法包名字符串特征，即确定包名字符串特征为非法包名字符串特征。非法包名字符串特征可以描述字符串不符合根据已知包名字符串确定的程序包名应符合的字符排列规律。包名随机可以描述程序的包名中包含随机生成的字符串。
相应的，若程序包名信息的包名字符串特征为非法包名字符串特征，则可以说明其不符合根据已知包名字符串确定的程序包名应符合的字符排列规律，可以确定其为随机字符串，从而可以确定其对应的样本程序的包名中包含随机生成的字符串，即其包名随机性特征为包名随机。
在本发明实施例提供的上述实施方式中，基于Bi-LSTM模型训练的包名特征提取模型可以完美判别出字符串是否是随机生成的，经过测试，其判别正确率接近100％。
在本发明的一个可选实施例中，所述目标特征信息，还可以包括：证书签名信息；在所述获取各样本程序的目标特征信息之后，还可以包括：获取所述证书签名信息的字符串随机性，得到各所述样本程序的签名随机性特征，并将所述签名随机性特征确定为所述样本训练数据。
其中，证书签名信息可以是程序的数字证书中的数字签名。签名随机性特征可以是对程序的数字证书中的数字签名是否为随机生成的字符串进行判别得到的特征。
具体的，数字证书是用于公开密钥基础建设的电子文件，用来证明公开密钥拥有者的身份，认证机构用自己的私钥对需要认证的公钥施加数字签名并生成证书。因此，可以在样本程序的数字证书中获取其证书签名信息。
示例性的，证书签名信息中可以包括CN(Common Name，公用名称)字段、O(Organization Name，单位名称)字段、OU(Organization Unit，组织单元)字段、L(Locality，所在城市)字段、S(State/Province，所在省份)字段和C(Country，所在国家)字段。对于恶意程序的签名，字段内容中包括随机生成的字符串，以隐藏恶意程序开发者的真实信息，例如签名“CN＝So，OU＝wq，O＝dqoindwei，L＝at，ST＝th，C＝China”，而在非恶意程序的签名中，各字段的内容均具有一定意义，例如CN字段中为网站域名，O字段中为单位名称，OU 字段中为组织单位名称，L字段中为城市名称，S字段中为省份名称，C字段中为国家名称或代码，例如签名“CN＝Android QZone Team，OU＝Tencent Company，O＝QZoneTeam of Tencent Company，L＝Beijing City，ST＝Beijing City，C＝86”。
相应的，可以通过判别证书签名信息是否为随机生成的字符串，得到证书签名信息的字符串随机性。对于任意样本程序，其证书签名信息是随机生成的字符串时，可以说明其签名随机性特征为签名随机；其证书签名信息不是随机生成的字符串，而是具有特定意义的字符串时，可以说明其签名随机性特征为签名非随机。可选的，可以将签名随机确定为特征值1，将签名非随机确定为特征值0。
需要说明的是，所述获取所述证书签名信息的字符串随机性，得到各所述样本程序的签名随机性特征，并将所述签名随机性特征确定为所述样本训练数据，与S220、S230之间的执行顺序不做限定，可以先后执行或同时执行，且均可以在S210之后、S240之前执行。
可选的，所述获取所述证书签名信息的字符串随机性，得到各所述样本程序的签名随机性特征，可以包括：根据已知签名字符串获取各所述证书签名信息的签名字符串特征；在确定所述签名字符串特征为合法签名字符串特征的情况下，确定所述证书签名信息为非随机字符串，得到所述证书签名信息对应的所述样本程序的所述签名随机性特征为签名非随机。
其中，已知签名字符串可以包括确定可以作为数字签名的字符串和/或确定不可以作为数字签名的字符串。签名字符串特征可以是根据已知签名字符串的字符排列规律，对证书签名信息所符合的字符排列规律进行判别得到的特征，可以描述字符串是否符合根据已知签名字符串确定的数字签名应符合的字符排列规律。合法签名字符串特征可以描述字符串符合根据已知签名字符串确定的数字签名应符合的字符排列规律。签名非随机可以描述程序的数字签名不是随机生成的字符串。
相应的，通过已知签名字符串可以确定数字签名应符合的字符排列规律，从而可以根据证书签名信息是否符合该字符排列规律，确定证书签名信息的签名字符串特征。若签名字符串特征为合法签名字符串特征，则可以说明证书签名信息符合根据已知签名字符串确定的数字签名应符合的字符排列规律，可以确定其为非随机字符串，从而可以确定其对应的样本程序的数字签名并非随机生成的，即其签名随机性特征为签名非随机。
可选的，已知签名字符串可以包括搜集的一定数量的非恶意程序的数字签名和英文单词，以及根据非恶意程序的数字签名和英文单词进行随机编码合成的一定数量的随机字符串。
进一步可选的，所述根据已知签名字符串获取所述证书签名信息的签名字符串特征，可以包括：将所述证书签名信息输入至预先训练的签名特征提取模型，得到所述签名特征提取模型输出的所述签名字符串特征。
其中，所述签名特征提取模型为采用所述已知签名字符串作为样本进行训练得到的，用于获取输入信息的所述签名字符串特征。
相应的，可以利用签名特征提取模型获取证书签名信息的签名字符串特征。签名特征提取模型可以是任意机器学习模型，采用已知签名字符串作为样本对其预先训练，可以使其学习已知签名字符串的字符排列规律，从而根据学习到的已知签名字符串的字符排列规律，对输入信息的签名字符串特征进行获取。
进一步可选的，在所述根据已知签名字符串获取所述证书签名信息的签名字符串特征之前，还可以包括：获取第三预设数量的已知签名字符串；对各所述已知签名字符串的签名字符串特征进行特征标记；将所述特征标记后的所述已知签名字符串作为样本输入至签名特征提取模型中，对所述签名特征提取模型进行训练。
其中，训练完成的签名特征提取模型用于提取所述证书签名信息的签名字符串特征。
具体的，第三预设数量可以是对特征提取模型进行训练所需要的样本总数量，可以根据需要确定，在此不做限定。特征标记可以是在各已知签名字符串中标记出其相应的签名字符串特征的操作。
相应的，采用已知签名字符串作为样本对签名特征提取模型进行训练，以使签名特征提取模型可以学习已知签名字符串中各字符串的字符排列规律及其对应的签名字符串特征，从而在签名特征提取模型中输入任意字符串时，其可以输出该字符串的签名字符串特征，即可以确定输入的字符串是否符合根据已知签名字符串确定的数字签名应符合的特征。
示例性的，若确定非恶意程序的数字签名可以采用现有的英文单词或符合英文单词拼写规律的原创单词，例如程序运营商的英文名称，则训练完成的特征提取模型可以判断输入的字符串是否符合英文单词拼写规律，从而输出相应的签名字符串特征。
可选的，所述获取第三预设数量的已知签名字符串，可以包括：获取第四预设数量的合法签名字符串；对所述合法签名字符串进行随机编码处理，得到所述第四预设数量的随机字符串；将所述合法签名字符串和所述随机字符串确定为所述已知签名字符串；所述对各所述已知签名字符串的签名字符串特征进行特征标记，可以包括：在所述合法签名字符串中标记出合法签名字符串特征；在所述随机字符串中标记出非法签名字符串特征。
其中，第四预设数量可以是第三预设数量的一半，可以根据第三预设数量确定。合法签名字符串可以是确定可以作为应用程序数字证书中的数字签名的字符串。随机字符串可以是确定不可以作为应用程序数字证书中的数字签名的字符串，其不符合任何特定的字符排列规律。合法签名字符串特征可以用于描述字符串符合合法签名字符串的字符排列规律。非法签名字符串特征可以描述字符串不符合合法签名字符串的字符排列规律。
相应的，通过获取第四预设数量的合法签名字符串，再通过对合法签名字符串进行随机编码处理得到第四预设数量的随机字符串，可以得到黑白样本各占一半的训练样本，从而可以利用该样本对模型进行训练，以使模型根据合法签名字符串和随机字符串及其标记，对其各自对应的签名字符串特征进行学习。
可选的，签名特征提取模型可以是Bi-LSTM模型。
可选的，第四预设数量的合法签名字符串可以包括37万个签名值和英文单词，而后对数据进行合成，根据随机编码生成37万个随机字符串，共计得到74万已知签名字符串作为样本。
可选的，在所述根据已知签名字符串获取所述证书签名信息的签名字符串特征之后，还可以包括：在确定所述签名字符串特征为非法签名字符串特征的情况下，在预先生成的字符串比对库中对所述证书签名信息进行匹配；在确定所述证书签名信息在所述字符串比对库中匹配成功的情况下，确定所述证书签名信息为非随机字符串，得到所述证书签名信息对应的所述样本程序的所述签名随机性特征为签名非随机；在确定所述证书签名信息在所述字符串比对库中匹配失败的情况下，确定所述证书签名信息为随机字符串，得到所述证书签名信息对应的所述样本程序的所述签名随机性特征为签名随机。
其中，非法签名字符串特征可以描述字符串不符合根据已知签名字符串确定的数字签名应符合的字符排列规律。字符串比对库可以是用于存储字符串的数据库，其中存储的字符串可以包括可以作为数字签名的字符串，符合特定的字符排列规律。签名随机可以描述程序的数字签名是随机生成的字符串。
相应的，若证书签名信息的签名字符串特征为非法签名字符串特征，则可以说明其不符合根据已知签名字符串确定的数字签名应符合的字符排列规律。由于根据已知签名字符串确定的该字符排列规律并非可以使全部非随机字符串均符合，例如根据由英文单词组成的已知签名字符串，仅可以确定英文单词的字符排列规律，若程序的数字签名采用其他语言，如汉语拼音，或其中包括英文缩写单次等，则根据由英文单词确定的字符排列规律会将这类非随机字符串误判为随机字符串，因此，可以预先生成字符串比对库，其中存储有符合特定字符排列规律的字符串。若证书签名信息在字符串比对库中匹配成功，同样可以说明证书签名信息为非随机字符串，其对应的样本程序的签名随机性特征为签名非随机；若证书签名信息在字符串比对库中匹配失败，可以说明证书签名信息不符合特定的字符排列规律，则确定证书签名信息为随机字符串，其对应的样本程序的签名随机性特征为签名随机。
示例性的，若证书签名信息中出现汉语拼音，例如“CN＝wangjun，OU＝xindognfang”，这种情况下，签名内容不属于英文单词，若根据英文单词的字符规律判断则会被判定为随机字符串。因此，可以预先将汉字的拼音构成成为字符串比对库，例如“ai”、“wo”、“chen”等单个汉字的拼音，而后通过贪婪算法，当字符串如“xindongfang”可以在字符串比对库中被枚举匹配到时，可以判定其为汉语拼音，而非随机字符串。可选的，字符串比对库中可以选由408个汉字的拼音构成。
在本发明实施例提供的上述实施方式中，基于Bi-LSTM模型训练的签名特征提取模型以及拼音的判别，可以完美判别出字符串是否是随机生成的，经过测试，其判别正确率接近 100％。同时，将该方法应用到数据中测试，在70万条恶意病毒软件中，签名中检测出随机字符串的有50万余条，而在11万正常软件中，仅1000余条的签名中出现了随机字符串，该结果肯定了该方案的可行性。
S240、将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
图4是本发明实施例二提供的一种程序识别模型训练方法的流程示意图。在一个具体的例子中，如图4所示，可以将原始样本输入至训练完成的包名特征提取模型中，判断其程序包名信息是否包含随机字符串。若根据包名特征提取模型确定其程序包名信息不包含随机字符串，则可以确定样本的包名随机性特征为包名非随机。若根据包名特征提取模型确定其程序包名信息包含随机字符串，则可以确定样本的包名随机性特征为包名随机。因此，可以提取出样本的包名随机性特征，与样本的程序行为特征以及可选的，签名随机性特征，一起放入程序识别模型中进行模型训练。
本发明实施例提供了一种程序识别模型训练方法，通过获取样本程序的行为特征信息和程序包名信息，根据行为特征信息获取各样本程序的程序行为特征，并根据程序包名信息获取各样本程序的包名随机性特征，从而将程序行为特征和包名随机性特征作为样本训练数据输入至程序识别模型以对其进行训练，以得到基于多特征进行恶意程序检测的模型，基于机器学习方法实现对应用程序的多角度特征提取和判别，提高恶意程序识别的效率和准确率；进一步地，还可以进一步获取程序的签名随机性特征，综合程序的程序行为特征、包名随机性特征和签名随机性特征实现恶意程序识别，进一步提高了准确率。
实施例三
图5为本发明实施例三提供的一种程序识别方法的流程图，本实施例可适用于识别恶意程序的情况，该方法可以由本发明实施例提供的程序识别装置来执行，该装置可以由软件和 /或硬件的方式来实现，并一般可集成在计算机设备中。相应的，如图5所示，该方法包括如下操作：
S310、获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息。
其中，待识别程序可以是任意需要识别其是否为恶意程序的应用程序。
S320、根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据。
S330、获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据。
S340、将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果。
其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
相应的，本发明实施例所采用的描述均与其在本发明任意实施例中的含义相同，在此不做重复。
在本发明的一个可选实施例中，所述获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，包括：根据已知包名字符串获取各所述程序包名信息的包名字符串特征；在确定所述包名字符串特征为合法包名字符串特征的情况下，确定所述程序包名信息为非随机字符串，得到所述程序包名信息对应的所述待识别程序的所述包名随机性特征为包名非随机；在确定所述包名字符串特征为非法包名字符串特征的情况下，确定所述程序包名信息为随机字符串，得到所述程序包名信息对应的所述待识别程序的所述包名随机性特征为包名随机。
在本发明的一个可选实施例中，所述根据已知包名字符串获取各所述程序包名信息的包名字符串特征，包括：将所述程序包名信息输入至预先训练的包名特征提取模型，得到所述包名特征提取模型输出的所述包名字符串特征；其中，所述包名特征提取模型为采用所述已知包名字符串作为样本进行训练得到的，用于获取输入信息的所述包名字符串特征。
在本发明的一个可选实施例中，在所述根据已知包名字符串获取各所述程序包名信息的包名字符串特征之前，还包括：获取第一预设数量的已知包名字符串；对各所述已知包名字符串的包名字符串特征进行特征标记；将所述特征标记后的所述已知包名字符串作为样本输入至包名特征提取模型中，对所述包名特征提取模型进行训练；其中，训练完成的包名特征提取模型用于提取所述程序包名信息的包名字符串特征。
在本发明的一个可选实施例中，所述获取第一预设数量的已知包名字符串，包括：获取第二预设数量的合法包名字符串；对所述合法包名字符串进行随机编码处理，得到所述第二预设数量的随机字符串；将所述合法包名字符串和所述随机字符串确定为所述已知包名字符串；所述对各所述已知包名字符串的包名字符串特征进行特征标记，包括：在所述合法包名字符串中标记出合法包名字符串特征；在所述随机字符串中标记出非法包名字符串特征。
在本发明的一个可选实施例中，所述目标特征信息，还包括：证书签名信息；在所述获取各样本程序的目标特征信息之后，还包括：获取所述证书签名信息的字符串随机性，得到各所述待识别程序的签名随机性特征，并将所述签名随机性特征确定为所述待检测数据。
本发明实施例提供了一种程序识别方法，通过获取待识别程序的行为特征信息和程序包名信息，根据行为特征信息获取待识别程序的程序行为特征，并根据程序包名信息获取待识别程序的包名随机性特征，从而将程序行为特征和包名随机性特征输入至程序识别模型以得到识别结果，基于机器学习方法实现对应用程序的多角度特征提取和识别，提高恶意程序检测的效率和准确率。
实施例四
图6为本发明实施例四提供的一种程序识别模型训练装置的结构示意图，如图6所示，所述装置包括：样本信息获取模块410、样本行为特征获取模块420、样本包名特征获取模块430和程序识别模型训练模块440。
其中，样本信息获取模块410，用于获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息。
样本行为特征获取模块420，用于根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据。
样本包名特征获取模块430，用于获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据。
程序识别模型训练模块440，用于将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
在本发明实施例的一个可选实施方式中，样本包名特征获取模块430，可以包括：样本字符串特征获取子模块，用于根据已知包名字符串获取各所述程序包名信息的包名字符串特征；样本非随机确定子模块，用于在确定所述包名字符串特征为合法包名字符串特征的情况下，确定所述程序包名信息为非随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名非随机；样本随机确定子模块，用于在确定所述包名字符串特征为非法包名字符串特征的情况下，确定所述程序包名信息为随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名随机。
在本发明实施例的一个可选实施方式中，样本字符串特征获取子模块，具体可以用于：将所述程序包名信息输入至预先训练的包名特征提取模型，得到所述包名特征提取模型输出的所述包名字符串特征；其中，所述包名特征提取模型为采用所述已知包名字符串作为样本进行训练得到的，用于获取输入信息的所述包名字符串特征。
在本发明实施例的一个可选实施方式中，样本包名特征获取模块430，还可以包括：模型训练子模块，用于获取第一预设数量的已知包名字符串；对各所述已知包名字符串的包名字符串特征进行特征标记；将所述特征标记后的所述已知包名字符串作为样本输入至包名特征提取模型中，对所述包名特征提取模型进行训练；其中，训练完成的包名特征提取模型用于提取所述程序包名信息的包名字符串特征。
在本发明实施例的一个可选实施方式中，模型训练子模块，具体可以用于：获取第二预设数量的合法包名字符串；对所述合法包名字符串进行随机编码处理，得到所述第二预设数量的随机字符串；将所述合法包名字符串和所述随机字符串确定为所述已知包名字符串；在所述合法包名字符串中标记出合法包名字符串特征；在所述随机字符串中标记出非法包名字符串特征。
在本发明实施例的一个可选实施方式中，所述目标特征信息，还包括：证书签名信息；所述装置，还包括：样本签名特征获取模块，用于获取所述证书签名信息的字符串随机性，得到各所述样本程序的签名随机性特征，并将所述签名随机性特征确定为所述样本训练数据。
上述装置可执行本发明任意实施例所提供的程序识别模型训练方法，具备执行程序识别模型训练方法相应的功能模块和有益效果。
本发明实施例提供了一种程序识别模型训练装置，通过获取样本程序的行为特征信息和程序包名信息，根据行为特征信息获取各样本程序的程序行为特征，并根据程序包名信息获取各样本程序的包名随机性特征，从而将程序行为特征和包名随机性特征作为样本训练数据输入至程序识别模型以对其进行训练，以得到基于多特征进行恶意程序检测的模型，基于机器学习方法实现对应用程序的多角度特征提取和判别，提高恶意程序识别的效率和准确率。
实施例五
图7为本发明实施例五提供的一种程序识别装置的结构示意图，如图7所示，所述装置包括：待识别信息获取模块510、待识别行为特征获取模块520、待识别包名特征获取模块 530和程序识别模块540。
其中，待识别信息获取模块510，用于获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息。
待识别行为特征获取模块520，用于根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据。
待识别包名特征获取模块530，用于获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据。
程序识别模块540，用于将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果。
其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
在本发明实施例的一个可选实施方式中，待识别包名特征获取模块530，可以包括：待识别字符串特征获取子模块，用于根据已知包名字符串获取各所述程序包名信息的包名字符串特征；待识别非随机确定子模块，用于在确定所述包名字符串特征为合法包名字符串特征的情况下，确定所述程序包名信息为非随机字符串，得到所述程序包名信息对应的所述待识别程序的所述包名随机性特征为包名非随机；待识别随机确定子模块，用于在确定所述包名字符串特征为非法包名字符串特征的情况下，确定所述程序包名信息为随机字符串，得到所述程序包名信息对应的所述待识别程序的所述包名随机性特征为包名随机。
在本发明实施例的一个可选实施方式中，待识别字符串特征获取子模块，具体可以用于：将所述程序包名信息输入至预先训练的包名特征提取模型，得到所述包名特征提取模型输出的所述包名字符串特征；其中，所述包名特征提取模型为采用所述已知包名字符串作为样本进行训练得到的，用于获取输入信息的所述包名字符串特征。
在本发明实施例的一个可选实施方式中，待识别包名特征获取模块530，还可以包括：模型训练子模块，用于获取第一预设数量的已知包名字符串；对各所述已知包名字符串的包名字符串特征进行特征标记；将所述特征标记后的所述已知包名字符串作为样本输入至包名特征提取模型中，对所述包名特征提取模型进行训练；其中，训练完成的包名特征提取模型用于提取所述程序包名信息的包名字符串特征。
在本发明实施例的一个可选实施方式中，模型训练子模块，具体可以用于：获取第二预设数量的合法包名字符串；对所述合法包名字符串进行随机编码处理，得到所述第二预设数量的随机字符串；将所述合法包名字符串和所述随机字符串确定为所述已知包名字符串；在所述合法包名字符串中标记出合法包名字符串特征；在所述随机字符串中标记出非法包名字符串特征。
在本发明实施例的一个可选实施方式中，所述目标特征信息，还包括：证书签名信息；所述装置，还包括：待识别签名特征获取模块，用于获取所述证书签名信息的字符串随机性，得到各所述待识别程序的签名随机性特征，并将所述签名随机性特征确定为所述待检测数据。
上述装置可执行本发明任意实施例所提供的程序识别方法，具备执行程序识别方法相应的功能模块和有益效果。
本发明实施例提供了一种程序识别装置，通过获取待识别程序的行为特征信息和程序包名信息，根据行为特征信息获取待识别程序的程序行为特征，并根据程序包名信息获取待识别程序的包名随机性特征，从而将程序行为特征和包名随机性特征输入至程序识别模型以得到识别结果，基于机器学习方法实现对应用程序的多角度特征提取和识别，提高恶意程序检测的效率和准确率。
实施例六
图8为本发明实施例六提供的一种计算机设备的结构示意图。图8示出了适于用来实现本发明实施方式的示例性计算机设备12的框图。图8显示的计算机设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图8所示，计算机设备12以通用计算设备的形式表现。计算机设备12的组件可以包括但不限于：一个或者多个处理器16，存储器28，连接不同系统组件(包括存储器28和处理器16)的总线18。
总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
计算机设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被计算机设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器 (RAM)30和/或高速缓存存储器32。计算机设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图8未显示，通常称为“硬盘驱动器”)。尽管图8中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM，DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。
计算机设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等) 通信，还可与一个或者多个使得用户能与该计算机设备12交互的设备通信，和/或与使得该计算机设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，计算机设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与计算机设备12的其它模块通信。应当明白，尽管图8中未示出，可以结合计算机设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID 系统、磁带驱动器以及数据备份存储系统等。
处理器16通过运行存储在存储器28中的程序，从而执行各种功能应用以及数据处理，实现本发明实施例所提供的程序识别模型训练方法：获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练；或，
程序识别方法：获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
实施例七
本发明实施例七提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时，实现本发明实施例所提供的程序识别模型训练方法：获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练；或，
程序识别方法：获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过本发明任意实施例所述的程序识别模型训练方法训练得到。
可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言，诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或计算机设备上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络，包括局域网(LAN)或广域网 (WAN)，连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (11)

1.一种程序识别模型训练方法，其特征在于，包括：
获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；
获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；
将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
2.根据权利要求1所述的方法，其特征在于，所述获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，包括：
根据已知包名字符串获取各所述程序包名信息的包名字符串特征；
在确定所述包名字符串特征为合法包名字符串特征的情况下，确定所述程序包名信息为非随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名非随机；
在确定所述包名字符串特征为非法包名字符串特征的情况下，确定所述程序包名信息为随机字符串，得到所述程序包名信息对应的所述样本程序的所述包名随机性特征为包名随机。
3.根据权利要求2所述的方法，其特征在于，所述根据已知包名字符串获取所述程序包名信息的包名字符串特征，包括：
将所述程序包名信息输入至预先训练的包名特征提取模型，得到所述包名特征提取模型输出的所述包名字符串特征；
其中，所述包名特征提取模型为采用所述已知包名字符串作为样本进行训练得到的，用于获取输入信息的所述包名字符串特征。
4.根据权利要求3所述的方法，其特征在于，在所述根据已知包名字符串获取所述程序包名信息的包名字符串特征之前，还包括：
获取第一预设数量的已知包名字符串；
对各所述已知包名字符串的包名字符串特征进行特征标记；
将所述特征标记后的所述已知包名字符串作为样本输入至包名特征提取模型中，对所述包名特征提取模型进行训练；
其中，训练完成的包名特征提取模型用于提取所述程序包名信息的包名字符串特征。
5.根据权利要求4所述的方法，其特征在于，所述获取第一预设数量的已知包名字符串，包括：
获取第二预设数量的合法包名字符串；
对所述合法包名字符串进行随机编码处理，得到所述第二预设数量的随机字符串；
将所述合法包名字符串和所述随机字符串确定为所述已知包名字符串；
所述对各所述已知包名字符串的包名字符串特征进行特征标记，包括：
在所述合法包名字符串中标记出合法包名字符串特征；
在所述随机字符串中标记出非法包名字符串特征。
6.根据权利要求1所述的方法，其特征在于，所述目标特征信息，还包括：证书签名信息；
在所述获取各样本程序的目标特征信息之后，还包括：
获取所述证书签名信息的字符串随机性，得到各所述样本程序的签名随机性特征，并将所述签名随机性特征确定为所述样本训练数据。
7.一种程序识别方法，其特征在于，包括：
获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；
获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；
将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过权利要求1-6任一所述的程序识别模型训练方法训练得到。
8.一种程序识别模型训练装置，其特征在于，包括：
样本信息获取模块，用于获取各样本程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
样本行为特征获取模块，用于根据所述行为特征信息获取各所述样本程序的程序行为特征，并将所述程序行为特征确定为样本训练数据；
样本包名特征获取模块，用于获取所述程序包名信息的字符串随机性，得到各所述样本程序的包名随机性特征，并将所述包名随机性特征确定为所述样本训练数据；
程序识别模型训练模块，用于将所述样本训练数据输入至程序识别模型以对所述程序识别模型进行训练。
9.一种程序识别装置，其特征在于，包括：
待识别信息获取模块，用于获取待识别程序的目标特征信息；所述目标特征信息包括行为特征信息和程序包名信息；
待识别行为特征获取模块，用于根据所述行为特征信息获取所述待识别程序的程序行为特征，并将所述程序行为特征确定为待检测数据；
待识别包名特征获取模块，用于获取所述程序包名信息的字符串随机性，得到所述待识别程序的包名随机性特征，并将所述包名随机性特征确定为待检测数据；
程序识别模块，用于将所述待检测数据输入至程序识别模型，得到所述待识别程序的程序识别结果；其中，所述程序识别模型通过权利要求1-6任一所述的程序识别模型训练方法训练得到。
10.一种计算机设备，其特征在于，所述计算机设备包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序；
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一所述的程序识别模型训练方法或权利要求7所述的程序识别方法。
11.一种计算机存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-6中任一所述的程序识别模型训练方法或权利要求7所述的程序识别方法。
CN202110997708.9A 2021-08-27 2021-08-27 程序识别模型训练和程序识别方法、装置、设备及介质 Pending CN113742727A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110997708.9A CN113742727A (zh) 2021-08-27 2021-08-27 程序识别模型训练和程序识别方法、装置、设备及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110997708.9A CN113742727A (zh) 2021-08-27 2021-08-27 程序识别模型训练和程序识别方法、装置、设备及介质

Publications (1)

Publication Number Publication Date
CN113742727A true CN113742727A (zh) 2021-12-03

Family

ID=78733516

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110997708.9A Pending CN113742727A (zh) 2021-08-27 2021-08-27 程序识别模型训练和程序识别方法、装置、设备及介质

Country Status (1)

Country Link
CN (1) CN113742727A (zh)

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104598815A (zh) * 2013-10-30 2015-05-06 贝壳网际（北京）安全技术有限公司 恶意广告程序的识别方法、装置及客户端
CN105453102A (zh) * 2013-08-30 2016-03-30 赛门铁克公司 用于识别已泄漏的私有密钥的系统和方法
CN108470126A (zh) * 2018-03-19 2018-08-31 腾讯科技（深圳）有限公司 数据处理方法、装置及存储介质
CN109543409A (zh) * 2018-11-09 2019-03-29 腾讯科技（深圳）有限公司 用于检测恶意应用及训练检测模型的方法、装置及设备
CN110532776A (zh) * 2019-09-05 2019-12-03 广西大学 基于运行时数据分析的Android恶意软件高效检测方法、系统及介质
CN110555304A (zh) * 2018-05-31 2019-12-10 武汉安天信息技术有限责任公司 恶意包名检测方法、恶意应用检测方法及相应装置
CN110858247A (zh) * 2018-08-23 2020-03-03 北京京东尚科信息技术有限公司 安卓恶意应用检测方法、系统、设备及存储介质
US20200285761A1 (en) * 2019-03-07 2020-09-10 Lookout, Inc. Security policy manager to configure permissions on computing devices
CN112084497A (zh) * 2020-09-11 2020-12-15 国网山西省电力公司营销服务中心 嵌入式Linux系统恶意程序检测方法及装置

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105453102A (zh) * 2013-08-30 2016-03-30 赛门铁克公司 用于识别已泄漏的私有密钥的系统和方法
CN104598815A (zh) * 2013-10-30 2015-05-06 贝壳网际（北京）安全技术有限公司 恶意广告程序的识别方法、装置及客户端
CN108470126A (zh) * 2018-03-19 2018-08-31 腾讯科技（深圳）有限公司 数据处理方法、装置及存储介质
CN110555304A (zh) * 2018-05-31 2019-12-10 武汉安天信息技术有限责任公司 恶意包名检测方法、恶意应用检测方法及相应装置
CN110858247A (zh) * 2018-08-23 2020-03-03 北京京东尚科信息技术有限公司 安卓恶意应用检测方法、系统、设备及存储介质
CN109543409A (zh) * 2018-11-09 2019-03-29 腾讯科技（深圳）有限公司 用于检测恶意应用及训练检测模型的方法、装置及设备
US20200285761A1 (en) * 2019-03-07 2020-09-10 Lookout, Inc. Security policy manager to configure permissions on computing devices
CN110532776A (zh) * 2019-09-05 2019-12-03 广西大学 基于运行时数据分析的Android恶意软件高效检测方法、系统及介质
CN112084497A (zh) * 2020-09-11 2020-12-15 国网山西省电力公司营销服务中心 嵌入式Linux系统恶意程序检测方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HISHAM SHEHATA GALAL等: "Behavior-based features model for malware detection", pages 1 - 9, Retrieved from the Internet <URL:《网页在线公开：https://link.springer.com/article/10.1007/s11416-015-0244-0》> *
龚扣林等: "基于BiLSTM模型的漏洞检测", 《计算机科学》, vol. 47, no. 5, 25 May 2020 (2020-05-25), pages 295 - 300 *

Similar Documents

Publication Publication Date Title
CN108053545B (zh) 证件验真方法和装置、服务器、存储介质
CN111159697B (zh) 一种密钥检测方法、装置及电子设备
CN112866023A (zh) 网络检测、模型训练方法、装置、设备及存储介质
CN112966713B (zh) 基于深度学习的dga域名检测方法、装置及计算机设备
CN110807194A (zh) 一种webshell检测方法及装置
CN112733140B (zh) 一种针对模型倾斜攻击的检测方法及系统
WO2023093346A1 (zh) 基于外源特征进行模型所有权验证的方法和装置
CN110704841A (zh) 一种基于卷积神经网络的大规模安卓恶意应用检测系统及方法
CN110858247A (zh) 安卓恶意应用检测方法、系统、设备及存储介质
CN114448664B (zh) 钓鱼网页的识别方法、装置、计算机设备及存储介质
CN111191238A (zh) 一种webshell检测方法、终端设备及存储介质
CN113742727A (zh) 程序识别模型训练和程序识别方法、装置、设备及介质
CN113742726A (zh) 程序识别模型训练和程序识别方法、装置、设备及介质
CN113935022A (zh) 一种同源样本捕获方法、装置、电子设备及存储介质
JP5791666B2 (ja) ビジュアルキーワードの動的生成装置
CN113836297A (zh) 文本情感分析模型的训练方法及装置
CN110879888A (zh) 病毒文件检测方法、装置及设备
CN115022001B (zh) 域名识别模型的训练方法、装置、电子设备及存储介质
CN111598075A (zh) 图片生成方法、设备及可读存储介质
CN113609352B (zh) 字符串检索方法、装置、计算机设备及存储介质
CN117081727B (zh) 一种弱口令检测方法以及装置
CN111753290B (zh) 软件类型的检测方法及相关设备
US20230351017A1 (en) System and method for training of antimalware machine learning models
CN115718696B (zh) 源码密码学误用检测方法、装置、电子设备和存储介质
RU2483355C1 (ru) Способ идентификации пользователя мобильного устройства по его уникальной подписи

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination