[发明专利]基于硬件追踪技术的恶意程序智能检测方法、装置及系统

权利要求书

1.基于硬件追踪技术的恶意程序智能检测方法，其特征在于，包括如下步骤：

构建用于在虚拟机中运行的样本程序，所述样本程序具备标签，被标识为正常程序或者恶意程序；

在虚拟机中依次运行所有的样本程序，采用Intel PT机制捕获样本程序的执行信息，得到当前样本程序的PT数据包序列；保存未运行过恶意程序的虚拟机快照即为安全虚拟机快照，每个样本程序执行前均先恢复所述安全虚拟机快照；所述得到当前样本程序的PT数据包序列，之后还包括对所获取的当前样本程序的PT数据包序列进行修剪，具体为包括如下步骤：

第一步，获取当前样本程序的原始PT数据包序列；

修剪后的PT数据包序列仅包含PGE型数据包、PGD型数据包、TNT型数据包以及TIP型数据包，其构成的精简PT数据包序列记为P，其初始为空；设置标志位flag，其初始值设置为0；依次从原始PT数据包序列中取出一个PT数据包，记为当前处理PT数据包p_i；

第二步，提取所述当前处理PT数据包p_i的类型t_i；

第三步，如果当前处理PT数据包类型t_i是PGD类型，从当前处理PT数据包中获取其TIP值，如果TIP值为0，则跳过当前处理PT数据包，并将标志flag设置为1；如果TIP值不为0，则将当前处理PT数据包插入到精简后PT数据包序列P中；如果当前处理PT数据包类型t_i为PGE类型，且flag标志值为1，则跳过当前处理PT数据包，并将flag标志值设置为0；如果flag标志值不为1，就将当前处理PT数据包插入到精简PT数据包序列P中；若当前处理PT数据包类型t_i为TNT类型或者TIP类型，则直接将当前处理PT数据包插入到精简PT数据包P中；

第四步，从原始PT数据包序列中取下一个PT数据包作为前处理PT数据包p_i，返回第二步；将样本程序对应的PT数据包序列进行像素化处理，转换为RGB图像；每个样本程序对应RGB图像及标签组成一个模型训练样本；

采用所有样本程序对应的模型训练样本，对预先构建的卷积神经网络模型进行训练得到恶意程序检测模型，用于恶意程序检测。

2.如权利要求1所述的方法，其特征在于，所述在虚拟机中依次运行所有的样本程序，采用Intel PT机制捕获样本程序的执行信息，组成当前样本程序的PT数据包序列，具体为：

对虚拟机环境进行配置，安装用于保证所有样本程序正常执行的程序库；

虚拟机内部部署一个代理程序，所述代理程序依次执行所有的样本程序，每个样本程序执行前均先恢复所述安全虚拟机快照；

样本程序执行过程如下：

当前样本程序执行启动后，所述代理程序立即暂停当前样本程序的执行，然后配置Intel PT机制；开启Intel PT机制后，所述代理程序恢复当前样本程序的执行，Intel PT机制捕获当前样本程序的执行信息，执行信息以PT数据包序列的形式存储在内存缓冲区中；将缓冲区中PT数据包序列保存到主机，并且附上标签，最后关闭虚拟机快照；

按照同样的步骤执行下一个样本程序，直至执行完所有的样本程序。

3.如权利要求2所述的方法，其特征在于，所述采用Intel PT机制捕获样本程序的执行信息，具体为：

采用Intel PT处理器，仅对样本程序的代码区域的执行信息进行捕获；

所述执行信息包括样本程序执行时的控制流和时序信息。

4.如权利要求1～3任一所述的方法，其特征在于，所述将样本程序对应的PT数据包序列进行像素化处理，转换为RGB图像，具体为：

将PT数据包序列中的每个PT数据包转换为一个颜色像素，从而将所述PT数据包序列转换为RGB图像。