[发明专利]一种恶意软件行为特征标识方法

说明书

技术领域

本发明涉及计算机安全技术领域,具体是一种恶意软件行为特征标识方法。 

背景技术

随着网络技术的日益发展，黑客攻击变得日益猖獗。恶意软件是黑客们实施入侵、维持入侵的基础工具。传统上研究人员通过对恶意软件进行逆向工程，在反汇编基础上，对恶意软件的基本行为展开静态代码分析。但由于代码混淆技术以及软件加壳技术的发展，对恶意软件的反汇编变得十分困难，并且效率低下。 

由于静态代码分析的困难，研究者提出了针对恶意软件的动态行为分析方法。这种方法不再对恶意软件进行静态解析，而是让恶意软件运行在一个可控环境，通过监控其产生的行为来对恶意软件进行识别和分类。恶意软件行为序列常用来描述恶意软件的行为，并作为恶意软件自动化分析技术的重要输入参数来完成分析任务。常见的恶意行为序列表示方法有XML格式、文本格式等。 

在基于机器学习方法的自动化恶意行为分析技术中，恶意行为序列都要被转换为特征向量进而进行聚类或者分类研究。现有恶意行为序列表示方法类如XML格式、文本格式等，常保存了大量与自动化分析无关的冗余内容，导致恶意软件行为特征存储上的浪费以及在转换为数学特征向量时运算上的消耗。 

发明内容

本发明所要解决的技术问题是，针对现有技术不足，提供一种恶意软件行为特征标识方法，降低恶意软件自动化行为分析时的运算代价和存储代价，提高或者保持恶意软件不同变种间行为序列的相似性。 

为解决上述技术问题，本发明所采用的技术方案是：一种恶意软件行为特征标识方法，该方法的步骤为： 

1）通过分析工具获取带有时间戳的恶意软件的一个或者多个行为序列，其中恶意软件的每个进程对应一个行为序列，对所述行为序列按照时间戳进行排序，组合为当前行为序列； 

2）分析当前行为序列中可能出现的行为特征的上限，此处的行为特征表示所述当前行为序列中描述一个特定系统行为的标识对象，设定所述行为特征上限值为UpFeatures； 

3）设定布尔变量为IsVisible，选择是否需要使用可视的单字节字符，所述的可视的单字节字符是指ASCII码表中从33到126之间的可以被屏幕显示的字符，不包含控制字符； 

4）根据UpFeatures和IsVisible的赋值，构建行为特征编码表； 

5）根据行为特征编码表，将原有文本格式或者XML格式的行为序列编码为单字节字符序列或者多字节字符序列，从而有效减小当前行为序列的存储代价和作为机器学习方法的输入参数时带来的运算代价； 

6）计算连续重复度L：在一个单字节字符序列或者多字节字符序列中，定义每一个字符为一个特征，如果一个特征在所述单字节字符序列或者多字节字符序列中连续出现的次数大于1，则认为所述特征存在连续重复度，其中连续出现的次数即为连续重复度L； 

7）设定重复度压缩起始值StartNum； 

8）如果L>=StartNum，则进入步骤9），否则，所述单字节字符序列或者多字节字符序列长度保持不变； 

9）对所述单字节字符序列或者多字节字符序列进行对数级重复度压缩，从而提高或者保持恶意软件不同变种间行为序列的相似性。 

所述步骤1）中： 

规则1-1）：对同一恶意软件的多个进程对应产生的多个行为序列进行排序合并时，满足以下规则： 

[1]同一进程的行为序列按时间顺序排列，越早调用的行为特征位置越靠前； 

[2]在合并后的总序列中，不同进程的行为序列不交叉，把每个序列当做一个整体放入总序列； 

[3]总序列中，不同进程对应的行为序列顺序按照每一个进程对应的第一个行为特征所发生的时间点进行排序，最早调用的进程排在最前。 

所述步骤4）中： 

规则4-1）：在构建行为特征编码表的过程中，如果IsVisible为TRUE，则表示编码表全部采用可视单字节字符。在ASCII码表中，由于可视的单字节字符为94个，即单字节对应的十进制值从33到126之间（包括33和126）的所有字符是可视的，所以可根据以下规则制定编码表： 

[1]当UpFeatures＜＝94时，只需在ASCII码表的33到126（此处的33和126均为十进制）之间任意选择UpFeatures个不同的ASCII字符来与行为特征一一对应构成编码表；