一種基於靜態特徵的惡意代碼檢測方法和存儲介質與流程

2023-11-05 08:12:43 1

1.本發明涉及電腦程式安全技術領域。具體而言，涉及一種基於靜態特徵的惡意代碼檢測方法和存儲介質。


背景技術：

2.隨著計算機網絡技術的高速發展，網絡安全已經成為複雜、現實、嚴峻的非傳統安全問題。
3.惡意代碼攻擊是影響網絡安全的主要因素之一，通過利用各種欺騙手段向攻擊目標註射計算機病毒或木馬程序，以達到破壞目標系統資源或獲取目標系統資源信息的目的。從實際案例來看，近年來爆發的重大網絡安全事件，大多數是以惡意代碼為核心攻擊組件並由此造成實質危害的。惡意代碼攻擊所帶來的不良影響在逐漸擴大，對國家和社會構成了巨大的安全隱患。開展惡意代碼攻擊的對抗技術研究已經成為維護網絡安全的迫切需要。
4.現有技術中，基於機器學習的惡意代碼檢測方法，雖然能夠對已知的、未知的惡意代碼進行檢測，但是大多數存在涉及的算法參數過多，代碼信息提取不全面的問題，影響代碼檢測準確率。


技術實現要素：

5.本發明正是基於現有技術的上述需求而提出的，本發明要解決的技術問題是如何快速、準確識別惡意代碼。
6.為了解決上述問題，本發明是採用如下技術方案實現的：一種基於靜態特徵的惡意代碼檢測方法，包括：獲取待檢測代碼，提取所述待檢測代碼的靜態特徵數組；對所述靜態特徵數組進行第一可分離卷積和第二可分離卷積交替處理得到第一尺寸數組，其中，第一可分離卷積和第二可分離卷積處理均包括利用逐深度卷積層對其輸入數組進行分通道空間信息處理；根據逐點卷積層對所述逐深度卷積層處理結果進行通道信息處理；所述第一可分離卷積中逐深度卷積層的卷積處理步長小於所述第二可分離卷積中逐深度卷積層的卷積處理步長；其中，第一可分離卷積和第二可分離卷積交替出現周期數大於等於2；利用全連接層和softmax層對所述第一尺寸數組進行處理，確定代碼種類。
7.可選地，在提取所述待檢測代碼的靜態特徵數組後，還包括：對所述靜態特徵數組中特徵值進行歸一化。
8.可選地，在利用全連接層和softmax層對所述第一尺寸數組進行處理前，通過池化層對所述第一尺寸數組進行最大池化處理，提取每個池化區域中的最大值。
9.可選地，所述逐深度卷積層包括逐深度卷積核，以及所述逐深度卷積核後依次相連的bn層和relu層；所述relu層的輸出作為所述逐深度卷積層的輸出結果；
所述逐點卷積層包括逐點卷積核，以及所述逐點卷積核後依次相連的bn層和relu層；所述relu層的輸出作為所述逐點卷積層的輸出結果。
10.可選地，所述獲取待檢測代碼，提取所述待檢測代碼的靜態特徵數組，包括：將所述待檢測代碼經過彙編語言反編譯，得到反彙編文件；根據所述反彙編文件，提取所述待檢測代碼的靜態特徵數組；其中，所述靜態特徵數組中的數值包括標點頻數、寄存器字符頻數、操作碼頻數、函數調用信息和關鍵字頻數。
11.可選地，所述方法還包括：根據第一可分離卷積層、第二可分離卷積層、全連接層和softmax層，構建可分離卷積模型；其中，所述第一可分離卷積層進行所述第一可分離卷積處理，所述第二可分離卷積層進行所述第二可分離卷積處理；利用帶有代碼種類標籤的靜態特徵數組對所述可分離卷積模型進行訓練。
12.可選地，所述方法還包括：使用隨機梯度下降算法對所述可分離卷積模型的參數進行優化。
13.可選地，在對所述靜態特徵數組進行第一可分離卷積和第二可分離卷積交替處理得到第一尺寸數組前，使用尺寸為5*5的卷積核，以2為步長長度對靜態特徵數組進行預處理。
14.可選地，所述方法還包括：使用測試集數據測試所述可分離卷積模型的準確率。
15.一種計算機可讀存儲介質，其上存儲有電腦程式，所述計算機可讀存儲介質上存儲有基於靜態特徵的惡意代碼檢測程序，所述基於靜態特徵的惡意代碼檢測程序在被處理器執行時，實現任一所述的一種基於靜態特徵的惡意代碼檢測方法的步驟。
16.與現有技術相比，本發明針對計算機可讀代碼提出了一種文件靜態特徵數組提取方法，通過統計反彙編文件中各類字符出現的頻次，支持對文件的靜態特徵進行全方位識別與原始特徵抽取。本發明實施例設計的可分離卷積網絡，具有參數少、訓練速度快等優點，通過對靜態特徵數組進行可分離卷積，能夠分離靜態特徵數組的空間信息和通道信息，在訓練時更好地捕捉特徵之間的空間相關性，更有利於對惡意代碼的檢測。
附圖說明
17.為了更清楚地說明本說明書實施例或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本說明書實施例中記載的一些實施例，對於本領域普通技術人員來講，還可以根據這些附圖獲得其他的附圖。
18.圖1是本發明具體實施方式提供的一種基於靜態特徵的惡意代碼檢測方法的流程圖；圖2是本發明具體實施方式提供的一種基於靜態特徵的惡意代碼檢測方法的框架圖；圖3是本發明具體實施方式提供的一種基於靜態特徵的惡意代碼檢測方法的可分離卷積網絡示意圖；圖4是本發明具體實施方式提供的一種基於靜態特徵的惡意代碼檢測方法的第一
可分離卷積層的網絡示意圖；圖5是本發明具體實施方式提供的一種基於靜態特徵的惡意代碼檢測方法的第二可分離卷積層的網絡示意圖。
具體實施方式
19.為使本發明實施例的目的、技術方案和優點更加清楚，下面將結合本發明實施例中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例是本發明一部分實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。
20.為便於對本發明實施例的理解，下面將結合附圖以具體實施例做進一步的解釋說明，實施例並不構成對本發明保護範圍的限定。
21.實施例1本實施例提供了一種基於靜態特徵的惡意代碼檢測方法，參考圖1-2所示，包括：s1：獲取待檢測代碼，提取所述待檢測代碼的靜態特徵數組。
22.在本發明實施例中，本步驟具體包括：獲取待檢測代碼，將所述待檢測代碼經過彙編語言反編譯，得到反彙編文件；根據所述反彙編文件，提取所述待檢測代碼的靜態特徵數組；其中，所述靜態特徵數組中的數值包括標點頻數、寄存器字符頻數、操作碼頻數、函數調用信息和關鍵字頻數。
23.具體而言：所述標點頻數包括：反彙編文件中出現標點符號'*'，'-'，'+'，'[',']'，'@'，'?'等的次數。
[0024]
所述寄存器字符頻數包括：反彙編文件中出現寄存器符號'edx'，'esi'，'es'，'fs'，'ds'，'ss'，'gs'，'cs'，'ah'，'al'，'ax'，'bh'，'bl'，'bx'，'ch'，'cl'，'cx'，'dh'，'dl'，'dx'，'eax'，'ebp'，'ebx'，'ecx'，'edi'，'esp'等的次數。
[0025]
所述操作碼頻數包括：反彙編文件中出現操作碼'add'，'al'，'bt'，'call'，'cdq'，'cld'，'cli'，'cmc'，'cmp'，'const'，'cwd'，'daa'，'db'，'dd'，'dec'，'dw'，'endp'，'ends'，'faddp'，'fchs'，'fdiv'，'fdivp'，'fdivr'，'fild'，'fistp'，'fld'，'fstcw'，'fstcwimul'，'fstp'，'fword'，'fxch'，'imul'，'in'，'inc'，'ins'，'int'，'jb'，'je'，'jg'，'jge'，'jl'，'jmp'，'jnb'，'jno'，'jnz'，'jo'，'jz'，'lea'，'loope'，'mov'，'movzx'，'mul'，'near'，'neg'，'not'，'or'，'out'，'outs'，'pop'，'popf'，'proc'，'push'，'pushf'，'rcl'，'rcr'，'rdtsc'，'rep'，'ret'，'retn'，'rol'，'ror'，'sal'，'sar'，'sbb'，'scas'，'setb'，'setle'，'setnle'，'setnz'，'setz'，'shl'，'shld'，'shr'，'sidt'，'stc'，'std'，'sti'，'stos'，'sub'，'test'，'wait'，'xchg'，'xor'等的次數。
[0026]
所述函數調用信息包括：首先生成文件的函數調用圖，然後統計文件函數調用圖中出現各字符的次數。
[0027]
所述關鍵字頻數包括：反彙編文件中出現字符'virtual'，'offset'，'loc'，'import'，'imports'，'var'，'forwarder'，'uint'，'long'，'bool'，'word'，'bytes'，'large'，'short'，'dd'，'db'，'dw'，'xref'，'ptr'，'data'，'function'，'extrn'，'byte'，'word'，'dword'，'char'，'dword'，'stdcall'，'arg'，'locret'，'asc'，'align'，'
winmain'，'unk'，'cookie'，'off'，'nullsub'，'dllentrypoint'，'system32'，'dll'，'chunk'，'bass'，'hmenu'，'dll'，'lpwstr'，'void'，'hresult'，'hdc'，'lresult'，'handle'，'hwnd'，'lpstr'，'int'，'hlocal'，'farproc'，'atom'，'hmodule'，'wparam'，'hglobal'，'entry'，'rva'，'collapsed'，'config'，'exe'，'software'，'currentversion'，'__imp_'，'int_ptr'，'uint_ptr'，'
‑‑‑
seperator'，'pcctl_context'，'__import_'，'internet_status_callback'，'.rdata:'，'.data:'，'.text:'，'case'，'installdir'，'market'，'microsoft'，'policies'，'proc'，'scrollwindow'，'search'，'trap'，'visualc'，'___security_cookie'，'assume'，'callvirtualalloc'，'exportedentry'，'hardware'，'hkey_current_user'，'hkey_local_machine'，'sp-analysisfailed'，'unableto'的次數。
[0028]
將二進位文件通過反彙編後，能夠更好地提取代碼特徵，因為反彙編文件與二進位文件相比，能夠更好地體現代碼功能，所以更有利於提取代碼的靜態特徵。
[0029]
通過提取上述的待檢測代碼的靜態特徵，能夠構建得到具有辨識性的惡意代碼特徵數組，有利於卷積網絡的識別。
[0030]
可選地，在提取所述待檢測代碼的靜態特徵數組後，還包括：對所述靜態特徵數組中特徵值進行歸一化。
[0031]
通過歸一化將靜態特徵數組中的數據限定在一定的範圍內，消除指標之間的量綱影響。
[0032]
在本發明實施例中，將上述五類特徵合併得到16384維特徵，由於各個特徵的數值範圍存在差異，將所有特徵值做歸一化處理，避免因數據跨度或者量級的差異導致分類結果出現偏差。為卷積網絡的輸入做好數據預處理。
[0033]
本實施例中，根據歸一化後的特徵值，將每個文件的特徵表示為尺寸為128*128的靜態特徵數組，即完成了對所述待檢測代碼的靜態特徵數組的提取。
[0034]
更進一步地，將已知類別的代碼的靜態特徵數組收錄到特徵庫中，得到訓練特徵庫，供softmax層訓練使用。
[0035]
s2：對所述靜態特徵數組進行第一可分離卷積和第二可分離卷積交替處理得到第一尺寸數組，其中，第一可分離卷積和第二可分離卷積處理均包括利用逐深度卷積層對其輸入數組進行分通道空間信息處理；根據逐點卷積層對所述逐深度卷積層處理結果進行通道信息處理；所述第一可分離卷積中逐深度卷積層的卷積處理步長小於所述第二可分離卷積中逐深度卷積層的卷積處理步長；其中，第一可分離卷積和第二可分離卷積交替出現周期數大於等於2。
[0036]
所述第一可分離卷積表示將輸入數組輸入至第一可分離卷積層進行卷積過程，所述第二可分離卷積表示將輸入數組輸入至第二可分離卷積層進行卷積過程。
[0037]
在本發明實施例中，交替出現指第一可分離卷積與第二可分離卷積輪流對輸入數組進行處理，其中，第一可分離卷積對所述靜態特徵數組進行處理，其處理結果再進行第二可分離卷積處理，第二可分離卷積處理結果再進行第一可分離卷積處理，依次設置。周期指第一可分離卷積層與第二可分離卷積層交替出現的次數，一個第一可分離卷積層與相鄰連接的一個第二可分離卷積層作為一個周期。
[0038]
在本發明實施例中，第一可分離卷積層和第二可分離卷積層都包括一逐深度卷積
層和一逐點卷積層，所述逐深度卷積層包括若干組一一對應的輸入通道和輸出通道，該逐深度卷積層中的輸出通道同時作為逐點卷積層的輸入通道，逐深度卷積層的每個輸出通道對應一個h*w的卷積核，逐點卷積層包括若干組輸出通道，且逐點卷積層中的每個輸出通道對應一個1*1的卷積核，在進行卷積計算時，逐深度卷積層中的一個h*w的卷積核與一個輸入通道中輸入的數據特徵進行卷積計算並由對應的輸出通道輸出，隨後通過大小1*1的卷積核將逐深度卷積層中各個輸出通道輸出的數據特徵進行融合。
[0039]
本發明實施例提供第一可分離卷積和第二可分離卷積交替出現周期數大於2的一種過程，具體包括：第一可分離卷積中逐深度卷積層的各個通道對所述靜態特徵數組進行卷積計算，得到第一數據特徵，並將所述第一數據特徵從對應的輸出通道輸出，使得待檢測代碼的空間信息進行第一次分離；第一可分離卷積中逐點卷積層的輸入通道接收逐深度卷積層的計算結果，利用1*1的卷積核將第一數據特徵進行第一次融合，得到第一數據包。
[0040]
第二可分離卷積中逐深度卷積層的各個通道對所述第一數據包進行卷積計算，得到第二數據特徵，並將所述第二數據特徵從對應的輸出通道輸出，使得待檢測代碼的空間信息進行第二次分離，第二可分離卷積中逐點卷積層的輸入通道接收逐深度卷積層的計算結果，利用1*1的卷積核將第二數據特徵進行第二次融合，得到第二數據包。
[0041]
第一可分離卷積中逐深度卷積層的各個通道對所述第二數據包進行卷積計算，得到第三數據特徵，並將所述第三數據特徵從對應的輸出通道輸出，使得待檢測代碼的空間信息進行第三次分離，第二可分離卷積中逐點卷積層的輸入通道接收逐深度卷積層的計算結果，利用1*1的卷積核將第三數據特徵進行第三次融合，得到第一尺寸數組。
[0042]
在本發明實施例中，第一可分離卷積中的逐深度卷積層的每個輸出通道對應一個3*3的步長為1的卷積核，第二可分離卷積中的逐深度卷積層的每個輸出通道對應一個3*3的步長為2的卷積核。
[0043]
本發明實施例通過分離特徵數組的通道信息和空間信息，減少參數，能夠避免無效信息的處理，極大降低了卷積處理結果中的冗餘信息。
[0044]
交替設置第一可分離卷積層和第二可分離卷積層且所述第一可分離卷積中逐深度卷積層的卷積處理步長小於所述第二可分離卷積中逐深度卷積層的卷積處理步長，能夠減少輸出數組的空間尺寸，能夠深入提取，將代碼特徵信息更加全面提取得到，避免在連續兩次卷積提取後特徵還沒有足夠融合，直接被丟棄行為。
[0045]
優選地，交替設置四個第一可分離卷積和三個第二可分離卷積，周期數大於3。
[0046]
以此設置，避免參數過多，導致過擬合現象；參數過少，導致不能得到精確分類結果，能夠儘可能保留靜態特徵的有用信息，代碼檢測效果更好。
[0047]
s3：利用全連接層和softmax層對所述第一尺寸數組進行處理，確定代碼種類。
[0048]
所述softmax層用於對特徵融合後的數據特徵進行數據分類或回歸，並輸出分類或回歸結果。
[0049]
優選地，在利用全連接層和softmax層對所述第一尺寸數組進行處理前，通過池化層對所述第一尺寸數組進行最大池化處理，提取每個池化區域中的最大值。
[0050]
最大池化是將輸入將輸入圖像劃分為多個矩形區域，提取每個矩形區域的最大值，在本發明實施例中，使用一維最大池化提取所述第一尺寸數組中每個池化區域的最大值，將所有最大值整合得到池化數據包。
[0051]
優選地，所述逐深度卷積層包括逐深度卷積核，以及所述逐深度卷積核後依次相連的bn層和relu層；所述relu層的輸出作為所述逐深度卷積層的輸出結果；所述逐點卷積層包括逐點卷積核，以及所述逐點卷積核後依次相連的bn層和relu層；所述relu層的輸出作為所述逐點卷積層的輸出結果。
[0052]
所述bn層執行批量歸一化操作，能夠解決在可分離卷積模型訓練過程中，中間層數據分布發生改變的問題，以防止梯度消失或爆炸，加快訓練的速度。
[0053]
所述relu層為激活函數，能夠去除卷積結果中的負值，保留正值不變。
[0054]
優選地，所述方法還包括：根據第一可分離卷積層、第二可分離卷積層、全連接層和softmax層，構建可分離卷積模型；其中，所述第一可分離卷積層進行所述第一可分離卷積處理，所述第二可分離卷積層進行所述第二可分離卷積處理；利用帶有代碼種類標籤的靜態特徵數組對所述可分離卷積模型進行訓練。所述可分離卷積模型網絡結構參考圖3所示，所述第一可分離卷積層的網絡結構參考圖4所示，所述第二可分離卷積層的網絡結構參照圖5所示。
[0055]
優選地，所述方法還包括：使用隨機梯度下降算法對所述可分離卷積模型的參數進行優化。
[0056]
優選地，在對所述靜態特徵數組進行第一可分離卷積和第二可分離卷積交替處理得到第一尺寸數組前，使用尺寸為5*5的卷積核，以2為步長長度對靜態特徵數組進行預處理。
[0057]
此時，可分離卷積模型還包括預處理層，所述預處理層用於對輸入數組進行多個尺寸為5*5，步長為2的卷積核處理。
[0058]
優選地，所述方法還包括：使用測試集數據測試所述可分離卷積模型的準確率。
[0059]
所述可分離卷積模型訓練時，將帶有標籤的訓練特徵數組集按照7:3的比例劃分為訓練集、驗證集和測試集，在訓練過程中始終保存在驗證集上具有最高準確率的網絡參數，並採用該參數對測試集數據進行檢測。
[0060]
採用隨機梯度下降算法對網絡參數進行優化，設置初始學習率為0.001，動量為0.9，學習率衰減率為0.000001。模型輸入採用批處理模式，每批可以設置輸入32個靜態特徵數組。所有靜態特徵數組均訓練一次後，對靜態特徵數組順序進行置亂。
[0061]
進一步優選地，可以將基於特徵碼匹配的惡意代碼檢測方法與本發明實施例提供的基於靜態特徵的惡意代碼檢測方法結合，提高惡意代碼檢測精度，所述靜態特徵碼是通過格式分析和代碼分析從惡意軟體的代碼程序中提取出獨有的固定性的數據片段以及該片段的位置信息，所述數據片段指一段特殊代碼或者是字符串信息，將這些信息抽象成靜態特徵碼作為該惡意軟體的特徵。通過將待檢測代碼與病毒特徵庫存儲的已知靜態特徵碼進行匹配，從而確定待檢測代碼是否存在惡意代碼。僅使用基於特徵碼匹配的惡意代碼檢測方法，能夠一旦確定了某一惡意代碼的靜態特徵碼就可以進行準確的查殺，然而在沒有預定義的特徵碼時無法有效地查殺未知惡意代碼，即具有一定的滯後性，無法識別未知的惡意軟體；另外，惡意軟體的特徵容易通過加密、混淆的方式從而被改變，從而導致了需要頻繁的更新提取的惡意軟體的特徵。當與本發明實施例設計的可分離卷積模型結合後，對後者漏檢的代碼進行二次檢測，從而實現快速、準確的惡意代碼檢測。
[0062]
所述計算機可讀代碼，可以表現為軟體的形式、數據的形式、或者圖像以及其他計
算機可讀取數據的形式。
[0063]
與現有技術相比，本發明實施例針對計算機可讀代碼提出了一種文件靜態特徵數組提取方法，通過統計反彙編文件中各類字符出現的頻次，支持對文件的靜態特徵進行全方位識別與原始特徵抽取。本發明實施例設計的可分離卷積網絡，具有參數少、訓練速度快等優點，通過對靜態特徵數組進行可分離卷積，能夠分離靜態特徵數組的空間信息和通道信息，在訓練時更好地捕捉特徵之間的空間相關性，更有利於對惡意代碼的檢測。本發明實施例提供的方法，能夠作為傳統惡意代碼檢測的補充手段，聯合基於特徵碼匹配的惡意代碼檢測方法，對後者漏檢的代碼進行二次檢測，從而實現快速、準確的惡意代碼檢測。
[0064]
一種計算機可讀存儲介質，其上存儲有電腦程式，所述計算機可讀存儲介質上存儲有基於靜態特徵的惡意代碼檢測程序，所述基於靜態特徵的惡意代碼檢測程序在被處理器執行時，實現所述的一種基於靜態特徵的惡意代碼檢測方法的步驟。
[0065]
以上所述的具體實施方式，對本發明的目的、技術方案和有益效果進行了進一步詳細說明，所應理解的是，以上所述僅為本發明的具體實施方式而已，並不用於限定本發明的保護範圍，凡在本發明的精神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本發明的保護範圍之內。