[发明专利]一种恶意软件识别方法、装置、电子设备及存储介质

说明书

本发明实施例公开一种恶意软件识别方法、装置、电子设备及存储介质，其中，所述方法包括：获取预设数量的恶意训练样本和良性训练样本，组成训练样本集；提取训练样本集中训练样本的恶意行为特征，其中该特征包括语义层特征和/或启发层特征；利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练；基于训练后的恶意软件识别模型，识别待识别软件是否为恶意软件。本发明实施例提供的技术方案可适用于网络安全攻击检测场景下对恶意软件的识别，能够很好地提升识别的准确性。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种恶意软件识别方法、装置、电子设备及存储介质。

背景技术

近些年，随着网络安全攻击目标范围日趋升级扩散，APT(AdvancedPersistentThreat,高级持续性威胁)攻击、商业窃密、勒索攻击等安全事件层出不穷，作为攻击核心载体的恶意软件也日渐呈现出规模化、复杂化、对抗化的变化趋势。对于安全厂商来讲，传统的签名黑白名单、特征查杀、静态启发等恶意软件识别技术的局限性开始凸显，在未知检出率、及时性以及扫描性能等技术指标上逐渐无法应对当下海量恶意家族样本的激烈对抗形势。另一方面，随着机器学习和深度学习的在图像分类、语义分析等领域的巨大发展和成功落地，以人工智能技术为核心的下一代杀软引擎(NGAV)研发也成为众多安全厂商的产品核心技术。

与其它领域不同，信息安全方向在安全对抗性、准确性、泛化能力、结果可解释性等方面要求更高，AI(Artificial Intelligence,人工智能)技术的落地面临更大的困难挑战。目前，由于恶意软件安全对抗复杂性、性能考虑欠缺，大多数恶意软件识别模型的检测方法准确率欠佳。

发明内容

有鉴于此，本发明实施例提供一种恶意软件识别方法、装置、电子设备及存储介质，以提升恶意软件识别的准确率。

第一方面，本发明实施例提供一种恶意软件识别方法，所述方法包括：

获取预设数量的恶意训练样本和良性训练样本，组成训练样本集；

提取训练样本集中训练样本的恶意行为特征，其中该特征包括语义层特征和/或启发层特征；

利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练；

基于训练后的恶意软件识别模型，识别待识别软件是否为恶意软件。

进一步的，在提取训练样本集中训练样本的恶意行为特征之前，还包括：对训练样本集中的训练样本进行去重处理。

进一步的，在提取训练样本集中训练样本的恶意行为特征之前，还包括：利用多种杀毒引擎，对训练样本集中训练样本的标签信息进行校正。

进一步的，所述方法还包括：

当所述校正失败时，计算该训练样本与所述训练样本集中其它训练样本的特征相似度；

将相似度最大且满足预设的第一相似度阈值的其它训练样本的标签信息，作为该训练样本最终的标签信息。

进一步的，在提取训练样本集中训练样本的恶意行为特征之前，还包括：

计算训练样本集中未知标签信息的目标训练样本的特征与恶意家族特征的相似度；

将相似度最大且满足预设的第二相似度阈值的恶意家族特征所对应的标签信息，作为所述目标训练样本的标签信息。

进一步的，在利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练之前，所述方法还包括：对所提取的恶意行为特征进行降维处理。

进一步的，利用训练样本集中训练样本的恶意行为特征及其标签信息，对恶意软件识别模型进行训练，包括：