[发明专利]基于机器码字节流的端到端的深度学习恶意软件分类方法

说明书

本发明公开了一种基于机器码字节流的端到端的深度学习恶意软件分类方法，以恶意软件机器码字节流为输入，经过恶意软件领域表示向量编码、恶意软件全区信息抽取模块、残差链接模块、分类输出模块的处理，从而给出该恶意软件的分类结果。本发明在准确表征原恶意软件特征的同时尽可能减少特征向量长度，进而减少计算量，解决恶意软件检测时对专家知识强依赖的问题，提高恶意软件分类模型的泛化能力，降低人力消耗，提高安全应急响应速度，给出了实现的技术细节，提供了可以解释的分类判断理由，提高了恶意软件分类准确率和分类精度，使恶意软件即使经过修饰之后也能够被正确检测和分类，保证计算机系统的安全稳定运行，满足日益严峻的网络安全态势。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于机器码字节流的端到端的深度学习恶意软件分类方法。

背景技术

在云计算、大数据、无纸化办公盛行的时代，个人隐私数据、公司业务数据等敏感数据量，办公自动化系统、云文档系统、企业资源规划系统等计算机系统已经成为人们工作生活中不可或缺的部分。然而，随着计算机技术的发展，恶意攻击者为了窃取数据资产开发出大量新型恶意软件，网络攻击体量不断扩大、恶意软件变异速度逐渐加快、恶意软件检测难度大幅提升。恶意软件对网络安全态势造成了极大威胁，阻碍工作生产正常进行。在这一背景下，网络安全的重要性越来越凸显，网络安全技术的研究也成了一个非常大的热点。

入侵检测系统(Intrusion Detection System，IDS)是一种用来检测入侵、并对入侵进行主动防御的网络安全技术。在入侵检测系统中，最重要的一环就是监控计算机运行状态，检测出恶意软件，并进行必要的安全处置。传统的恶意软件入侵检测方法主要采用基于指纹库的方法，即将恶意软件的哈希、异常行为等信息建立指纹库，与每一次操作与指纹库内的信息进行匹配，以确定被保护设备是否被恶意软件攻击。但是随着越来越多、越来越新颖的网络攻击出现，该方法存在着检测效果差、泛化性能不足、维护指纹库工作量巨大等缺点。

随着人工智能技术的不断发展，机器学习和深度学习方法被安全研究员应用于恶意软件检测领域。现有的基于机器学习的恶意软件检测方法可以依靠特征向量通过梯度下降算法等优化方式进行训练，对训练及特征进行自动拟合，在新样本出现时有一定的泛化能力。虽然决策树、随机森林、朴素贝叶斯等机器学习算法避免了维护指纹库的工作量，但是特征向量的选择仍然强依赖专家知识，当特征向量不够科学时，模型往往性能较差。并且由于模型根据构造好的特征向量进行分类，误报情况较多，对正常软件存在误伤情况。现有研究表明单一的机器学习算法应用己经难以提高检测系统在复杂数据环境下的检测性能。

近年来，深度学习技术在计算机视觉、自然语言处理等领域取得了突破性进展，展现出比机器学习技术更强大的特征抽取和特征表示能力。因此利用卷积神经网络、深度神经网络等将深度学习技术作为特征选择或特征提取的手段应用于恶意软件检测与分类系统中，以期获得更能反映待检测样本的特征，系统通过这些特征进行模式识别，不仅可以有效检测出未知攻击类型和已知攻击类型的变种，还可以降低特征抽取阶段对专家知识的依赖。虽然深度学习可以有效提取恶意软件的高维向量表示，但是仍存在以下缺点：(1)特征抽取规则不明确，容易被恶意软件经过简单修饰和混淆的变异样本绕过逃避检测或使恶意软件检测器分类出错；(2)模型参数量大，对运行设备的硬件资源有一定要求；(3)对恶意软件的运行原理理解不足，深度学习模型可解释性差，难以向安全人员提供可以解释的分类判断理由。

为了应对日益严峻的网络安全态势，需要开发出一种新的深度学习恶意软件分类方法，不仅要能够提高恶意软件的检测精度、提高模型的泛化能力、降低对专家知识的依赖，还需要提高检测模型的抗干扰能力，使恶意软件即使经过修饰之后也能够被正确检测和分类，保证计算机系统的安全稳定运行。

发明内容

本发明针对现有基于深度学习的恶意软件检测技术的缺点，提出一种基于机器码字节流的端到端的深度学习恶意软件分类方法。

为了实现上述目的，本发明提供如下技术方案：