[发明专利]一种基于软依赖的恶意软件分类和检测方法

权利要求书

1.一种基于软依赖的恶意软件分类和检测方法，其特征在于，包括以下步骤：

步骤一：对恶意软件样本训练集中的所有恶意软件样本进行特征提取，将所提取的特征分为n个特征子集F₀,F₁,…,F_n-1；恶意软件样本训练集为trainset＝{D₀，D₁，......，D_k-1}，其中D_i表示恶意软件样本训练集中的第i个恶意软件家族，0≤i≤k-1，k表示恶意软件样本训练集恶意软件家族的个数；第j个特征子集F_j＝{Df₀，Df₁，......，Df_k-1}，Df_i表示该特征子集中第i个恶意软件家族中所有恶意软件样本的特征，0≤j≤n-1；

步骤二：分别以步骤一中的n个特征子集F₀,F₁,…,F_n-1为训练样本进行机器学习，生成n个模型M₀,M₁,…,M_n-1；

步骤三：使用步骤二中的n个模型M₀,M₁,…,M_n-1，分别对待检测的恶意软件进行分类，得到n个分类结果P₀,P₁,…,P_n-1；

步骤四：计算每个特征子集的混合机离标准值s-value；

步骤五：根据步骤三得到的每个模型预测出的结果，将步骤四中每个特征子集的s-value值s-value₀,s-value₁,…,s-value_n-1分别作为步骤三得到的分类结果的权重，得到待检测的恶意软件的分类结果P＝||s-value₀||·P₀+||s-value₁||·P₁+...+||s-value_n-1||·P_n-1。

2.如权利要求1所述的一种基于软依赖的恶意软件分类和检测方法，其特征在于，步骤四中第j个特征子集F_j的混合机离标准值s_j为：

s-value_j＝EC_jα+EN_jβ–EI_jγ

其中，F_j中恶意软件家族质心间距离标准值EC_j＝(ec_pq)_k*k，ec_pq为F_j中第p个和第q个恶意软件家族质心间距离；F_j中恶意软件家族间最小距离标准值EN_j＝(en_ab)_k*k，en_ab为F_j中第a个和第b个恶意软件家族间的最短距离；F_j中恶意软件家族内的类间距离标准值EI_j＝(ei_ab)_k*2，ei_a1为F_j中第a个恶意软件家族内恶意软件样本特征间的最大距离，ei_a2为F_j中第a个恶意软件家族内恶意软件样本特征间距离之和；α、β和γ分别为EC、EN和恶意软件家族内的类间距离标准值EI的权重。

3.如权利要求2所述的一种基于软依赖的恶意软件分类和检测方法，其特征在于，恶意软件家族的质心为α_u为恶意软件家族中第u个恶意软件样本的特征。

4.如权利要求2所述的一种基于软依赖的恶意软件分类和检测方法，其特征在于，α、β和γ在步骤二中的机器学习过程中通过最小化损失函数求得，损失函数为y_v为第v个恶意软件样本的标签，N为恶意软件样本训练集中恶意软件样本数量。