[发明专利]基于机器学习的程序识别方法及装置

权利要求书

1.一种基于机器学习的程序识别方法，其特征在于，包括：

分析输入的未知程序，提取所述未知程序中的类行为特征，所述类行为特征包括导入表库特征和导入表应用程序编程接口API特征；

根据所提取的类行为特征对所述未知程序进行粗分类；其中所述根据所提取的类行为特征对所述未知程序进行粗分类具体包括：根据导入表库特征分类和/或导入表应用程序编程接口API特征分类进行分类；

根据所述粗分类的结果，将所述未知程序输入已生成的训练模型及相应的决策机中进行判断；所述训练模型根据对海量的程序的特征分类的结果，将不同类别的程序文件的特征向量和黑白属性使用不同的决策机进行训练，得到相应的训练模型；其中，不同特征分类中包含不同数量的具体特征，不同的特征分类对应有不同的分类标识，不同的具体特征对应有不同的特征标识；

输出所述未知程序的识别结果，所述识别结果为恶意程序或非恶意程序。

2.根据权利要求1所述的方法，其特征在于，所述导入表库特征包括：网络类特征、高级WIN32应用程序接口类特征、系统内核类特征、操作系统用户界面相关应用程序接口类特征、操作系统应用程序共用图像用户界面模块类特征、操作系统硬件提取层模块类特征、虚拟机相关模块类特征、标准C运行库程序类特征、对象链接和嵌入相关模块类特征、操作系统进程状态支持模块类特征、操作系统32位外壳动态链接库文件类特征、地址动态链接库文件类特征；

所述导入表API特征为从所述导入表库中选取的函数特征。

3.根据权利要求1所述的方法，其特征在于，当包括多个训练模型时，所述将未知程序输入已生成的训练模型及相应的决策机中进行判断包括：

将未知程序分别输入一个或多个已生成的训练模型及相应的决策机中进行判断；

根据预先设置的每种类行为特征分类在每个训练模型中的权重，将每个训练模型及相应的决策机对所述未知程序进行判断的结果进行加权计算；

所述输出未知程序的识别结果具体为：根据所述加权计算的结果输出对所述未知程序的识别结果。

4.根据权利要求1所述的方法，其特征在于，还包括：

输入提取到的海量程序，所述海量程序中包括恶意程序和非恶意程序；

从所输入的每个程序中提取类行为特征，并对所提取的类行为特征进行分类；

根据所述分类的结果，将不同类别的类行为特征使用不同的决策机进行训练，生成用于识别恶意程序的训练模型或训练模型集合。

5.根据权利要求4所述的方法，其特征在于，所述从所输入的每个程序中提取类行为特征包括：

分析每个程序文件，从所述程序文件中抽取预先定义的类行为特征；

根据所抽取的类行为特征生成特征向量，以及每个特征向量的黑白属性。

6.根据权利要求4所述的方法，其特征在于，所述不同的决策机使用相同或不同的方式对特征进行训练，包括：使用支持向量机的决策机进行训练，或使用决策树的决策机进行训练。

7.一种基于机器学习的程序识别装置，其特征在于，包括：

提取单元，用于分析输入的未知程序，提取所述未知程序中的类行为特征，所述类行为特征包括导入表库特征和导入表应用程序编程接口API特征；

分类单元，用于根据所提取的类行为特征对所述未知程序进行粗分类；其中所述根据所提取的类行为特征对所述未知程序进行粗分类具体包括：根据导入表库特征分类和/或导入表应用程序编程接口API特征分类进行分类；

判断单元，用于根据所述粗分类的结果，将所述未知程序输入已生成的训练模型及相应的决策机中进行判断；所述训练模型根据对海量的程序的特征分类的结果，将不同类别的程序文件的特征向量和黑白属性使用不同的决策机进行训练，得到相应的训练模型；其中，不同特征分类中包含不同数量的具体特征，不同的特征分类对应有不同的分类标识，不同的具体特征对应有不同的特征标识；

输出单元，用于输出所述未知程序的识别结果，所述识别结果为恶意程序或非恶意程序。