CN114462040A - 一种恶意软件检测模型训练、恶意软件检测方法及装置 - Google Patents

一种恶意软件检测模型训练、恶意软件检测方法及装置 Download PDF

Info

Publication number
CN114462040A
CN114462040A CN202210114289.4A CN202210114289A CN114462040A CN 114462040 A CN114462040 A CN 114462040A CN 202210114289 A CN202210114289 A CN 202210114289A CN 114462040 A CN114462040 A CN 114462040A
Authority
CN
China
Prior art keywords
training
behavior
diagram
software
graph
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210114289.4A
Other languages
English (en)
Inventor
陈璐
邵志鹏
马媛媛
陈牧
戴造建
李尼格
曹婉恬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Original Assignee
State Grid Corp of China SGCC
Global Energy Interconnection Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Global Energy Interconnection Research Institute filed Critical State Grid Corp of China SGCC
Priority to CN202210114289.4A priority Critical patent/CN114462040A/zh
Publication of CN114462040A publication Critical patent/CN114462040A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Evolutionary Computation (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Artificial Intelligence (AREA)
  • Computer Hardware Design (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Stored Programmes (AREA)

Abstract

本发明提供一种恶意软件检测模型训练、恶意软件检测方法及装置，恶意软件检测模型训练方法包括：获取多个恶意软件；确定各恶意软件对应的训练合成行为图；对训练合成行为图添加第一标签；根据训练合成行为图获取一个或多个训练公共行为图，各训练公共行为图分别对应一个恶意软件家族，对训练公共行为图添加第二标签；将训练合成行为图和训练公共行为图输入到图匹配模型中得到第一相似系数；若第一相似系数和第二相似系数的差值小于预设相似系数，将当前的图匹配模型确定为恶意软件检测模型。本发明通过提取训练公共行为图缩小了在检测恶意软件时的检测范围，提高了恶意软件检测模型的检测速度，以及检测结果的准确性。

Description

一种恶意软件检测模型训练、恶意软件检测方法及装置
技术领域
本发明属于安全监测技术领域，具体涉及到一种恶意软件检测模型训练、恶意软件检测方法及装置。
背景技术
随着移动互联网的不断发展，在电力行业，电力移动终端的数量不断增长，但同时，恶意软件的快速增长给电力移动终端用户带来了巨大的危害,包括资费消耗、隐私窃取以及远程控制等，而电力行业等关键领域的工业控制系统作为关乎国计民生的重要基础设施，一直以来都是网络安全攻击的重点，极易成为网络战的首要目标，因此需要一种快速高效的恶意软件检测方法来对电力移动互联终端进行安全防护。
目前恶意软件检测技术可以分为静态分析技术，动态分析技术以及基于机器学习的分析技术三类。
静态分析方法是对整个App的代码和资源进行分析，能达到很高的代码覆盖率，但是，由于并不真正执行应用程序，该方法无法得到软件的真实执行路径和执行上下文，且无法避免代码混淆以及动态代码的加载带来的干扰。
动态分析是根据App运行时的行为来分析其恶意行为，通常App在Android的虚拟机或者一台真实的物理机上运行，动态分析技术能够避免代码混淆以及动态代码的加载带来的干扰，但是该方法存在代码覆盖率不高、分析时间长、效率低的问题。
基于机器学习的恶意软件检测方法的基本原理是通过程序分析等技术提取不同的特征描述待分析样本的不同行为，然后每一个特征样本均用一个固定维度向量表示，最后借助于现有的机器学习算法对已知特征样本进行训练并构建分类器，从而能够对未知样本进行预测判断，但是，现有的特征提取大多直接分析软件本身，导致基于字符串形式存在的特征容易被现有的混淆技术所篡改,从而绕过恶意软件检测，因此，通过传统的机器学习算法无法实现对恶意软件的准确检测。
发明内容
因此，针对现有技术中的问题，本发明提供一种恶意软件检测模型训练、恶意软件检测方法及装置，用以解决现有技术中存在的问题。
第一方面，本发明提供一种恶意软件检测模型训练方法，包括：获取软件样本库，软件样本库中包括多个恶意软件；对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图；对训练合成行为图添加第一标签；根据训练合成行为图获取一个或多个训练公共行为图，各训练公共行为图分别对应一个恶意软件家族，对训练公共行为图添加第二标签；将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数；确定第一标签与第二标签的第二相似系数，对第一相似系数和第二相似系数作差，若第一相似系数和第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型。
可选的，在本发明提供的恶意软件检测模型训练方法中，对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图，包括：对软件样本库中的恶意软件进行反编译，得到反编译代码和清单配置文件；根据反编译代码生成训练基本行为图；根据反编译代码和清单配置文件生成测试脚本，利用测试脚本对恶意软件进行动态测试，得到动态运行信息；通过动态运行信息和训练基本行为图生成训练合成行为图。
可选的，在本发明提供的恶意软件检测模型训练方法中，训练合成行为图包括一个或多个极大连通子图，极大连通子图包括一个或多个边，根据训练合成行为图获取一个或多个训练公共行为图，包括：根据第一标签对训练合成行为图进行分类组合，得到一个或多个训练合成行为图集合；确定各训练合成行为图集合中各极大连通子图的边的权值；基于各训练合成行为图集合中各极大连通子图的边的权值，分别确定与各训练合成行为图集合相对应的训练公共行为图。
可选的，在本发明提供的恶意软件检测模型训练方法中，基于训练合成行为图集合中各极大连通子图的边的权值，确定与训练合成行为图集合相对应的训练公共行为图，包括：根据训练合成行为图集合中各极大连通子图的边的权值，确定各极大连通子图的边平均权值，以及训练合成行为图集合的子图间权值平均值，子图间权值平均值为训练合成行为图集合中极大连通子图的边平均权值的均值；将边平均权值大于子图间权值平均值的极大连通子图中，权值小于预设值的边进行删除，形成中间图；将边的权值的和最大的中间图确定为训练合成行为图集合对应的训练公共行为图。
可选的，在本发明提供的恶意软件检测模型训练方法中，还包括：若第一相似系数和第二相似系数的差值大于或等于预设相似系数，则利用反向传播算法对图匹配模型进行优化训练，返回将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数的步骤，直到第一相似系数和第二相似系数的差值小于预设相似系数。
第二方面，本发明提供了一种恶意软件检测方法，包括：获取待检测软件的合成行为图；将合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算合成行为图和公共行为图的相似度，若相似度大于预设相似度，则判定待检测软件为恶意软件，恶意软件检测模型通过本发明中任一项的恶意软件检测模型训练方法确定。
可选的，在本发明提供的恶意软件检测方法中，获取待检测软件的合成行为图，包括：对待检测软件进行反编译，得到待检测软件的反编译代码；根据待检测软件的反编译代码生成控制流图；根据控制流图得到待检测软件的基本行为图；对待检测软件进行动态分析收集待检测软件的动态运行信息，将待检测软件的动态运行信息加入到基本行为图中，得到合成行为图。
第三方面，本发明提供一种恶意软件检测模型训练装置，包括：数据获取模块，用于获取软件样本库，软件样本库中包括多个恶意软件；数据分析模块，用于对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图；标签添加模块，用于对训练合成行为图添加第一标签；提取模块，用于根据训练合成行为图获取一个或多个训练公共行为图，各训练公共行为图分别对应一个恶意软件家族，对训练公共行为图添加第二标签；输入模块，用于将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数；模型确定模块，用于确定第一标签与第二标签的第二相似系数，对第一相似系数和第二相似系数作差，若第一相似系数和第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型。
第四方面，本发明提供一种恶意软件检测装置，包括：图获取模块，用于获取待检测软件的合成行为图；图处理模块，用于将合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算合成行为图和公共行为图的相似度，若相似度大于预设相似度，则判定待检测软件为恶意软件，恶意软件检测模型通过本发明中任一项的恶意软件检测模型训练方法确定。
第五方面，本发明提供一种计算机设备，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，从而执行如本发明第一方面提供的恶意软件检测模型训练方法，或，如本发明第二方面提供的恶意软件检测方法。
本发明技术方案，具有如下优点：
本发明提供的恶意软件检测模型训练方法，对软件样本库中的恶意软件进行分析，得到训练合成行为图，从训练合成行为图中提取出不同恶意软件家族的训练公共行为图，通过将训练合成行为图和训练公共行为图输入到图匹配模型进行训练，得到恶意软件检测模型，在本发明提供的恶意软件检测模型训练方法中通过提取训练公共行为图缩小了在检测恶意软件时的检测范围，提高了恶意软件检测模型的检测速度，以及检测结果的准确性。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例中恶意软件检测模型训练方法的一个具体实例的流程图；
图2为本发明实施例中形成中间图的方法的一个具体实例的流程图；
图3为本发明实施例中恶意软件检测方法的一个具体实例的流程图；
图4为本发明实施例中恶意软件检测模型训练装置的一个具体实例的结构示意图；
图5为本发明实施例中恶意软件检测装置的一个具体实例的结构示意图；
图6为本发明实施例中计算机设备的一个具体实例的结构示意图。
具体实施方式
下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
除非上下文明确要求，否则整个说明书和权利要求书中的“包括”、“包含”等类似词语应当解释为包含的含义而不是排他或穷举的含义；也就是说，是“包括但不限于”的含义。
在本发明的描述中，需要理解的是，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。
此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。
本发明实施例提供一种恶意软件检测模型训练方法，如图1所示，该方法包括：
步骤S1：获取软件样本库，软件样本库中包括多个恶意软件。
在一可选实施例中，通过Drebin数据集来获取恶意软件，其中各恶意软件包括与之对应的家族标签，且家族标签通过人工校验，具有较高正确性。
步骤S2：对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图。
在一可选实施例中，对软件样本库中的恶意软件进行静态分析和动态分析相结合的方式进行分析，得到各恶意软件对应的训练合成行为图。
在本发明实施例中，通过对恶意软件进行静态分析和动态分析相结合的方式进行分析，使得到的训练合成行为图代码覆盖率高且避免了代码混淆及动态代码的加载带来的干扰。
步骤S3：对训练合成行为图添加第一标签。
在一可选实施例中，对训练合成行为图添加该训练合成行为图对应的恶意软件的家族标签。
步骤S4：根据训练合成行为图获取一个或多个训练公共行为图，各训练公共行为图分别对应一个恶意软件家族，对训练公共行为图添加第二标签。
在一可选实施例中，根据属于同一个恶意家族的训练合成行为图可以获取到一个与该恶意家族相对应的训练公共行为图，对该训练公共行为图添加与之对应的家族标签。
步骤S5：将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数。
在一可选实施例中，图匹配模型包括编码单元、传播单元和聚合单元。
其中，编码单元可以通过多层感知机搭建，编码单元包括word2vec模型和独热编码，word2vec模型用来对训练合成行为图和训练公共行为图中每个节点的特征信息进行向量化处理，得到节点的向量化特征信息，节点的特征信息可以是节点名，独热编码用来对训练合成行为图和训练公共行为图中每条边的特征信息进行向量化处理，得到边的向量化特征信息；
传播单元使用注意力机制。
聚合单元使用聚合函数计算得到所有节点的聚合信息，将得到的聚合信息嵌入到新的向量空间，通过新的向量空间来表征全图。
步骤S6：确定第一标签与第二标签的第二相似系数，对第一相似系数和第二相似系数作差，若第一相似系数和第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型。
在一可选实施例中，对所有第一标签和所有第二标签的标签数量进行统计，得到第一标签中的恶意标签在第一标签中的第一数量比重和第二标签中的恶意标签在第二标签中的第二数量比重，将第一数量比重和第二数量比重作除，得到第二相似系数，对第一相似系数和第二相似系数作差，若第一相似系数和第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型，预设相似系数按照实际需求进行设定，示例性地，可以将预设相似系设定为0.1。
在本发明实施例中，通过对软件样本库中的恶意软件进行分析，得到训练合成行为图，从训练合成行为图中提取出不同恶意软件家族的训练公共行为图，通过将训练合成行为图和训练公共行为图输入到图匹配模型进行训练，得到恶意软件检测模型，在本发明实施例提供的恶意软件检测模型训练方法中通过提取训练公共行为图缩小了在检测恶意软件时的检测范围，提高了恶意软件检测模型的检测速度，以及检测结果的准确性。
在一可选实施例中，对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图，包括：
首先，对软件样本库中的恶意软件进行反编译，得到反编译代码和清单配置文件。
在一可选实施例中，对于安卓应用程序，对应用程序的APK文件进行反编译，得到反编译代码、AndroidManifest.xml文件和.dex文件。
然后，根据反编译代码生成训练基本行为图。
在一可选实施例中，根据AndroidManifest.xml文件和.dex文件得到应用程序编程接口(API)调用信息，搜索得到意图(Intent)调用信息。
根据反编译代码生成与反编译代码中组件类相对应的控制流图，使用到达定义算法对API调用信息及Intent调用信息的调用者和调用目标进行定位，根据API调用信息、Intent调用信息、API调用信息及Intent调用信息的调用者和调用目标对控制流图添加对应链接，得到训练基本行为图。
在一可选实施例中，应用软件在完成特定功能时会产生API调用信息和调用关系，将API调用信息连接起来，得到包含节点和边的函数调用图，其中，节点代表API调用信息名称，边代表调用关系。
示例性地，对于特定功能的API调用信息，如：
Figure BDA0003495743580000111
上述代码为发送信息时的API调用信息，其中，API调用信息按照Uri.parse、intent、intent.putExtra、startActivity的顺序进行连接。
其次，根据反编译代码和清单配置文件生成测试脚本，利用测试脚本对恶意软件进行动态测试，得到动态运行信息。
在一可选实施例中，生成测试脚本的步骤包括，先通过soot框架对.dex文件进行处理，将.dex文件中的Dalvik字节码转换为Jimple代码；然后根据Jimple代码得到活动(Activity)之间的跳转关系，再依据Activity跳转关系生成活动转换图，最后根据活动转换图生成测试脚本。
在一可选实施例中，在Appium框架下对应用软件进行动态测试，得到动态运行信息。
动态运行信息包括API调用信息、Intent调用信息和内容提供(ContentProvider)调用信息。
在一可选实施例中，在对恶意软件进行动态测试时，可以在JNI层挂钩，获取Java层和本机层之间与binder相关的API调用信息，在Service Manager层挂钩，获取来自应用软件的Intent调用信息和Content Provider调用信息。
由于Java层是通过JNI接口来调用binder驱动，且binder请求需要通过ServiceManager，而Intent调用信息、Content Provider调用信息的底层实现都是binder机制，因此在JNI层上挂钩可以获得Intent调用信息和Content Provider调用信息。
最后，通过动态运行信息和训练基本行为图生成训练合成行为图。
在一可选实施例中，将动态运行信息中的边调用关系和训练基本行为图中的边调用关系进行对比，若调用关系一致，则将动态运行信息中的边和该边的调用关系替换为训练基本行为图中的边和该边的调用关系，若调用关系不一致，则在训练基本行为图中建立新的边和该边的调用关系。
在一可选实施例中，训练合成行为图包括一个或多个极大连通子图，极大连通子图包括一个或多个边，根据训练合成行为图获取一个或多个训练公共行为图，包括：
首先，根据第一标签对训练合成行为图进行分类组合，得到一个或多个训练合成行为图集合。
在一可选实施例中，第一标签包括各训练合成行为图的所属恶意家族，按照第一标签将训练合成行为图分为一个或多个训练合成行为图集合，每个训练合成行为图集合对应一个恶意家族。
然后，确定各训练合成行为图集合中各极大连通子图的边的权值。
在一可选实施例中，每个训练合成行为图中包括一个或多个极大连通子图和最大公共子图。
对于训练合成行为图集合C中第i个训练合成行为图Gi的第j个极大连通子图gij的边的权值的计算步骤为：
1、通过McSplitRLR算法得到gij和C中除Gi外的训练合成行为图的最大公共子图MPS。
2、为gij的每条边建立权值，若gij中存在与MPS相同的边，则该边的权值加1，将每条边的权值与C中训练合成行为图的数量作除，得到gij的边的权值。
参照对极大连通子图gij的边的权值的计算步骤计算C中其余极大连通子图的边的权值。
在本发明实施例中，使用McSplitRLR算法计算gij和C中除Gi外的训练合成行为图的最大公共子图MPS，与当前的McSplit算法相比，采用了顶点冲突学习的新分支策略，不再依赖图的静态属性顶点度数，而是对顶点在历史搜索中产生的影响力进行学习，拥有更高的求解效率。
最后，基于各训练合成行为图集合中各极大连通子图的边的权值，分别确定与各训练合成行为图集合相对应的训练公共行为图。
在一可选实施例中，基于训练合成行为图集合中各极大连通子图的边的权值，确定与训练合成行为图集合相对应的训练公共行为图，包括：
首先，根据训练合成行为图集合中各极大连通子图的边的权值，确定各极大连通子图的边平均权值，以及训练合成行为图集合的子图间权值平均值，所述子图间权值平均值为所述训练合成行为图集合中极大连通子图的边平均权值的均值。
在一可选实施例中，确定各极大连通子图的边平均权值，如确定gij的边平均权值：
Figure BDA0003495743580000141
其中，ek表示编号为k的边，Eij表示gij的边集，
Figure BDA0003495743580000142
表示编号为k的边的权值，|Eij|表示Eij中边的数量，
Figure BDA0003495743580000143
表示gij边的平均权值。
参照上述确定gij的边平均权值的方法计算C中其余极大连通子图的边平均权值。
确定训练合成行为图集合的子图间权值平均值，如确定C中Gi的子图间权值平均值：
Figure BDA0003495743580000151
参照上述确定Gi子图间权值平均值的方法计算C中其余训练合成行为图的子图间权值平均值。
然后，将边平均权值大于所述子图间权值平均值的极大连通子图中，权值小于预设值的边进行删除，形成中间图。
在一可选实施例中，将边平均权值大于所述子图间权值平均值的极大连通子图中，如图2所示删除权值小于预设值的边<a，b>、边<d，f>和边<e，g>，预设值可以按照实际需求进行设定，示例性地，将预设值设定为边平均权值，若节点不与任何边相连，则将该节点删除，如节点g。
最后，将边的权值的和最大的中间图确定为所述训练合成行为图集合对应的训练公共行为图。
在一可选实施例中，还包括：若第一相似系数和第二相似系数的差值大于或等于预设相似系数，则利用反向传播算法对图匹配模型进行优化训练，返回将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数的步骤，直到第一相似系数和第二相似系数的差值小于预设相似系数。
在一可选实施例中，图匹配模型包括Adam优化器，在对图匹配模型进行优化训练时，可以用汉明距离作为距离度量，得到损失函数值，将损失函数值发送到Adam优化器来对图匹配模型进行优化训练。
本发明实施例提供一种恶意软件检测方法，如图3所示，该方法包括：
步骤S7：获取待检测软件的合成行为图。
步骤S8：将合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算合成行为图和公共行为图的相似度，若相似度大于预设相似度，则判定待检测软件为恶意软件，恶意软件检测模型通过上述实施例中任一项的恶意软件检测模型训练方法确定。
在一可选实施例中，数据库中存放一个或多个恶意软件的公共行为图，将待检测软件的合成行为图和一个恶意软件的公共行为图输入到恶意软件检测模型中，计算合成行为图和公共行为图的相似度，若相似度小于预设相似度，则将待检测软件的合成行为图和其它恶意软件的公共行为图输入到恶意软件检测模型中，直到待检测软件的合成行为图与数据库中所有恶意软件的公共行为图的相似度都小于预设相似度，判定待检测软件为非恶意软件。
在一可选实施例中，预设相似度可以按照实际需求进行设定，示例性地，预设相似度设定为0.9。
在一可选实施例中，获取待检测软件的合成行为图，包括：
首先，对待检测软件进行反编译，得到待检测软件的反编译代码，根据待检测软件的反编译代码生成控制流图，再根据控制流图得到待检测软件的基本行为图，获得待检测软件的基本行为图的步骤内容参见上述实施例中的描述，在此不再赘述。
最后，对待检测软件进行动态分析收集待检测软件的动态运行信息，将待检测软件的动态运行信息加入到基本行为图中，得到合成行为图。
在一可选实例中，在运行待检测软件后直接收集待检测软件的动态运行信息。
本发明实施例提供一种恶意软件检测模型训练装置，如图4所示，该装置包括：
数据获取模块41，用于获取软件样本库，软件样本库中包括多个恶意软件，详细内容参见上述实施例中对步骤S1的描述，在此不再赘述。
数据分析模块42，用于对软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图，详细内容参见上述实施例中对步骤S2的描述，在此不再赘述。
标签添加模块43，用于对训练合成行为图添加第一标签详细内容参见上述实施例中对步骤S3的描述，在此不再赘述。
提取模块44，用于根据训练合成行为图获取一个或多个训练公共行为图，各训练公共行为图分别对应一个恶意软件家族，对训练公共行为图添加第二标签，详细内容参见上述实施例中对步骤S4的描述，在此不再赘述。
输入模块45，用于将训练合成行为图和训练公共行为图输入到图匹配模型中，得到训练合成行为图与训练公共行为图的第一相似系数，详细内容参见上述实施例中对步骤S5的描述，在此不再赘述。
模型确定模块46，用于确定第一标签与第二标签的第二相似系数，对第一相似系数和第二相似系数作差，若第一相似系数和第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型，详细内容参见上述实施例中对步骤S6的描述，在此不再赘述。
关于一种恶意软件检测模型训练装置的具体限定以及有益效果可以参见上文中对于恶意软件检测模型训练方法的限定，在此不再赘述。上述恶意软件检测模型训练装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于电子设备中的处理器中，也可以以软件形式存储于电子设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
本发明实施例提供一种恶意软件检测装置，如图5所示，该装置包括：
图获取模块51，用于获取待检测软件的合成行为图，详细内容参见上述实施例中对步骤S7的描述，在此不再赘述。
图处理模块52，用于将合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算合成行为图和公共行为图的相似度，若相似度大于预设相似度，则判定待检测软件为恶意软件，恶意软件检测模型通过上述实施例中任一项的恶意软件检测模型训练方法确定，详细内容参见上述实施例中对步骤S8的描述，在此不再赘述。
关于一种恶意软件检测装置的具体限定以及有益效果可以参见上文中对于恶意软件检测方法的限定，在此不再赘述。上述恶意软件检测装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于电子设备中的处理器中，也可以以软件形式存储于电子设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
本发明实施例还提供了一种非暂态计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的恶意软件检测模型训练或恶意软件检测方法。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State D rive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。
本发明实施例还提供一种计算机设备，如图6所示，该计算机设备可以包括至少一个处理器61、至少一个通信接口62、至少一个通信总线63和至少一个存储器64，其中，通信接口62可以包括显示屏(Display)、键盘(Keyboard)，可选通信接口62还可以包括标准的有线接口、无线接口。存储器64可以是高速RAM存储器(Random Access Memory，易挥发性随机存取存储器)，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。存储器64可选的还可以是至少一个位于远离前述处理器61的存储装置。存储器64中存储应用程序，且处理器61调用存储器64中存储的程序代码，以用于执行上述任意发明实施例的步骤。
其中，通信总线63可以是外设部件互连标准(peripheral componentIntentconnect，简称PCI)总线或扩展工业标准结构(extended industry standardarchitecture，简称EISA)总线等。通信总线63可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
其中，存储器64可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器也可以包括非易失性存储器(英文：non-volatile memory)，例如快闪存储器(英文：flash memory)，硬盘(英文：hard diskdrive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)；存储器64还可以包括上述种类的存储器的组合。
其中，处理器61可以是中央处理器(英文：central processing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。
其中，处理器61还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(英文：application-specific integrated circuit，缩写：ASIC)，可编程逻辑器件(英文：programmable logic device，缩写：PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(英文：complex programmable logic device，缩写：CPLD)，现场可编程逻辑门阵列(英文：field-programmable gate array，缩写：FPGA)，通用阵列逻辑(英文：generic arraylogic,缩写：GAL)或其任意组合。
可选地，存储器64还用于存储程序指令。处理器61可以调用程序指令，实现如本发明图1实施例中所示的恶意软件检测模型训练或本发明图3实施例中所示的恶意软件检测方法。

Claims (10)

1.一种恶意软件检测模型训练方法，其特征在于，包括：
获取软件样本库，所述软件样本库中包括多个恶意软件；
对所述软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图；
对所述训练合成行为图添加第一标签；
根据所述训练合成行为图获取一个或多个训练公共行为图，各所述训练公共行为图分别对应一个恶意软件家族，对所述训练公共行为图添加第二标签；
将所述训练合成行为图和所述训练公共行为图输入到图匹配模型中，得到所述训练合成行为图与所述训练公共行为图的第一相似系数；
确定所述第一标签与所述第二标签的第二相似系数，对所述第一相似系数和所述第二相似系数作差，若所述第一相似系数和所述第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型。
2.根据权利要求1所述的恶意软件检测模型训练方法，其特征在于，对所述软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图，包括：
对所述软件样本库中的恶意软件进行反编译，得到反编译代码和清单配置文件；
根据所述反编译代码生成训练基本行为图；
根据所述反编译代码和所述清单配置文件生成测试脚本，利用所述测试脚本对所述恶意软件进行动态测试，得到动态运行信息；
通过所述动态运行信息和所述训练基本行为图生成所述训练合成行为图。
3.根据权利要求1所述的恶意软件检测模型训练方法，其特征在于，所述训练合成行为图包括一个或多个极大连通子图，所述极大连通子图包括一个或多个边，
根据所述训练合成行为图获取一个或多个训练公共行为图，包括：
根据所述第一标签对所述训练合成行为图进行分类组合，得到一个或多个训练合成行为图集合；
确定各训练合成行为图集合中各极大连通子图的边的权值；
基于各训练合成行为图集合中各极大连通子图的边的权值，分别确定与各训练合成行为图集合相对应的训练公共行为图。
4.根据权利要求3所述的恶意软件检测模型训练方法，其特征在于，基于训练合成行为图集合中各极大连通子图的边的权值，确定与训练合成行为图集合相对应的训练公共行为图，包括：
根据训练合成行为图集合中各极大连通子图的边的权值，确定各极大连通子图的边平均权值，以及训练合成行为图集合的子图间权值平均值，所述子图间权值平均值为所述训练合成行为图集合中极大连通子图的边平均权值的均值；
将边平均权值大于所述子图间权值平均值的极大连通子图中，权值小于预设值的边进行删除，形成中间图；
将边的权值的和最大的中间图确定为所述训练合成行为图集合对应的训练公共行为图。
5.根据权利要求1所述的恶意软件检测模型训练方法，其特征在于，还包括：
若所述第一相似系数和所述第二相似系数的差值大于或等于预设相似系数，则利用反向传播算法对所述图匹配模型进行优化训练，返回将所述训练合成行为图和所述训练公共行为图输入到图匹配模型中，得到所述训练合成行为图与所述训练公共行为图的第一相似系数的步骤，直到所述第一相似系数和所述第二相似系数的差值小于预设相似系数。
6.一种恶意软件检测方法，其特征在于，包括：
获取待检测软件的合成行为图；
将所述合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算所述合成行为图和所述公共行为图的相似度，若所述相似度大于预设相似度，则判定所述待检测软件为恶意软件，所述恶意软件检测模型通过如权利要求1-5中任一项所述的恶意软件检测模型训练方法确定。
7.根据权利要求6所述的恶意软件检测方法，其特征在于，获取待检测软件的合成行为图，包括：
对待检测软件进行反编译，得到待检测软件的反编译代码；
根据所述待检测软件的反编译代码生成控制流图；
根据所述控制流图得到所述待检测软件的基本行为图；
对待检测软件进行动态分析收集所述待检测软件的动态运行信息，将所述待检测软件的动态运行信息加入到所述基本行为图中，得到所述合成行为图。
8.一种恶意软件检测模型训练装置，其特征在于，包括：
数据获取模块，用于获取软件样本库，所述软件样本库中包括多个恶意软件；
数据分析模块，用于对所述软件样本库中的恶意软件进行分析，得到各恶意软件对应的训练合成行为图；
标签添加模块，用于对所述训练合成行为图添加第一标签；
提取模块，用于根据所述训练合成行为图获取一个或多个训练公共行为图，各所述训练公共行为图分别对应一个恶意软件家族，对所述训练公共行为图添加第二标签；
输入模块，用于将所述训练合成行为图和所述训练公共行为图输入到图匹配模型中，得到所述训练合成行为图与所述训练公共行为图的第一相似系数；
模型确定模块，用于确定所述第一标签与所述第二标签的第二相似系数，对所述第一相似系数和所述第二相似系数作差，若所述第一相似系数和所述第二相似系数的差值小于预设相似系数，则将当前的图匹配模型确定为恶意软件检测模型。
9.一种恶意软件检测装置，其特征在于，包括：
图获取模块，用于获取待检测软件的合成行为图；
图处理模块，用于将所述合成行为图和恶意软件的公共行为图输入到恶意软件检测模型中，计算所述合成行为图和所述公共行为图的相似度，若所述相似度大于预设相似度，则判定所述待检测软件为恶意软件，所述恶意软件检测模型通过如权利要求1-5中任一项所述的恶意软件检测模型训练方法确定。
10.一种计算机设备，其特征在于，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，从而执行权利要求1-5中任一项所述的一种恶意软件检测模型训练方法，或，如权利要求6或权利要求7中任一项所述的一种恶意软件检测方法。
CN202210114289.4A 2022-01-30 2022-01-30 一种恶意软件检测模型训练、恶意软件检测方法及装置 Pending CN114462040A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210114289.4A CN114462040A (zh) 2022-01-30 2022-01-30 一种恶意软件检测模型训练、恶意软件检测方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210114289.4A CN114462040A (zh) 2022-01-30 2022-01-30 一种恶意软件检测模型训练、恶意软件检测方法及装置

Publications (1)

Publication Number Publication Date
CN114462040A true CN114462040A (zh) 2022-05-10

Family

ID=81412517

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210114289.4A Pending CN114462040A (zh) 2022-01-30 2022-01-30 一种恶意软件检测模型训练、恶意软件检测方法及装置

Country Status (1)

Country Link
CN (1) CN114462040A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115511015A (zh) * 2022-11-23 2022-12-23 中国人民解放军国防科技大学 一种样本筛选方法、装置、设备及计算机可读存储介质
WO2024102380A1 (en) * 2022-11-08 2024-05-16 Akamai Technologies, Inc. Detecting anomalous application programming interface (api) behaviors

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024102380A1 (en) * 2022-11-08 2024-05-16 Akamai Technologies, Inc. Detecting anomalous application programming interface (api) behaviors
CN115511015A (zh) * 2022-11-23 2022-12-23 中国人民解放军国防科技大学 一种样本筛选方法、装置、设备及计算机可读存储介质

Similar Documents

Publication Publication Date Title
CN111460446B (zh) 基于模型的恶意文件检测方法及装置
CN114462040A (zh) 一种恶意软件检测模型训练、恶意软件检测方法及装置
CN111368289B (zh) 一种恶意软件检测方法和装置
CN115146282A (zh) 基于ast的源代码异常检测方法及其装置
CN108985061A (zh) 一种基于模型融合的webshell检测方法
CN115577858A (zh) 基于区块链的碳排放量预测方法、装置及电子设备
CN114036531A (zh) 一种基于多尺度代码度量的软件安全漏洞检测方法
CN112328802A (zh) 数据处理方法、装置和服务器
CN111522736A (zh) 一种软件缺陷预测方法、装置、电子设备及计算机存储介质
CN112783513B (zh) 一种代码风险检查方法、装置及设备
CN110958244A (zh) 一种基于深度学习的仿冒域名检测方法及装置
CN109800797A (zh) 基于ai的文件黑白判断方法、装置及设备
CN113420295A (zh) 恶意软件的检测方法及装置
Zhang et al. Automatic detection of Android malware via hybrid graph neural network
CN111506305A (zh) 工具包生成方法、装置、计算机设备及可读存储介质
CN115484112A (zh) 支付大数据安全防护方法、系统及云平台
CN114416422A (zh) 问题定位方法、装置、设备、介质和程序产品
CN113869904A (zh) 可疑数据识别方法、装置、电子设备、介质和计算机程序
CN115454473A (zh) 基于深度学习漏洞决策的数据处理方法及信息安全系统
CN113807391A (zh) 任务模型的训练方法、装置、电子设备及存储介质
CN113127858A (zh) 异常检测模型训练方法、异常检测方法及装置
CN113452700A (zh) 处理安全信息的方法、装置、设备以及存储介质
CN112579436A (zh) 一种微服务软件架构识别与度量方法
CN113364702B (zh) 广告流量异常检测方法、系统、存储介质及电子设备
CN116401113B (zh) 一种异构众核架构加速卡的环境验证方法、装置及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination