[发明专利]一种基于滑动局部注意力机制的恶意代码检测方法

说明书

一种基于滑动局部注意力机制的恶意代码检测方法，包括特征抽取方法和滑动局部注意力机制检测方法，所述特征抽取方法包括以下步骤：S1.1、根据API函数的功能，将常见的API函数划分为17类，并根据索引编号，将API函数进行着色；S1.2、提取API执行系列，并根据API函数类别将一维的API执行序列构造为具有API结构信息的二维执行序列；所述滑动局部注意力机制检测方法包括以下步骤：S2.1、构建滑动局部注意力机制，通过局部注意力机制来获取API二维执行序列中的局部信息；S2.2、通过使用滑动窗口方法扫描API二维执行序列，抽取更高层的特征信息，并将更高层的特征信息传给CNN模型；S2.3、使用CNN模型再抽取局部注意力机制的权重值，最后通过Softmax函数输出最后结果。

技术领域

本发明涉及代码的检测及识别方法，具体的说是指一种基于滑动局部注意力机制的恶意代码检测方法。

背景技术

恶意代码检测和识别方法，目前主要分为传统方法和机器学习方法。传统方法主要是基于大量专家知识，借助专家知识通过人工逆向分析恶意代码，进而抽取出恶意代码特征，实现分类和识别的目的。这些经过人工抽取的特征，在识别效果上通常表现出了较高的准确率。然而，随着恶意代码数量急剧增长，人工方法通常需要消耗大量的人力，代价变得越来越昂贵。机器学习方法具有较高的泛化能力，不需要较多的人力，在恶意代码识别领域，具有广泛的应用前景。

机器学习方法的应用主要包含两个方面，一是特征的抽取方法，二是检测模型的设计。要成功运用机器学习方法在恶意代码识别领域，就需要根据先验知识，设计较好的特征提取方法，同时，根据这些特征，设计针对性的检测模型，才能实现较好的效果。当前，现有的特征抽取方法，主要包含基于恶意代码API调用、恶意代码二进制、恶意代码反汇编码和恶意代码反编译码等形式。现有的检测模型，主要包含传统机器学习领域中的随机森林、决策树、SVM、 XGBoost等模型，同时也包含深度学习中的全连接神经网络、卷积神经网络、时间序列神经网络等。但是，现有的机器学习方法运用于恶意代码的识别时其识别率相对不高。

发明内容

本发明提供的是一种基于滑动局部注意力机制的恶意代码检测方法，其主要目的在于克服现有的机器学习方法运用于恶意代码的识别时其识别率相对不高的问题。

为了解决上述的技术问题，本发明采用如下的技术方案：

一种基于滑动局部注意力机制的恶意代码检测方法，包括特征抽取方法和滑动局部注意力机制检测方法，

所述特征抽取方法包括以下步骤：

S1.1、根据API函数的功能，将常见的API函数划分为17类，并根据索引编号，将API函数进行着色；

S1.2、提取API执行系列，并根据API函数类别将一维的API执行序列构造为具有API结构信息的二维执行序列；

所述滑动局部注意力机制检测方法包括以下步骤：

S2.1、构建滑动局部注意力机制，通过局部注意力机制来获取API二维执行序列中的局部信息；

S2.2、通过使用滑动窗口方法扫描API二维执行序列，抽取更高层的特征信息，并将更高层的特征信息传给CNN模型；

S2.3、使用CNN模型再抽取局部注意力机制的权重值，最后通过Softmax 函数输出最后结果。

进一步的，所述步骤S1.2包括以下步骤：

S1.21、构建API的集合和API函数的类别集合；

S1.22、将API唯一的转化作为它的索引值，每个API一维执行序列对应一个索引值；

S1.23、从API的集合中获取API所在的类别；

S1.24、从API函数的类别集合获取API类别的索引值；