[发明专利]一种基于香农信息熵的恶意代码可视化分析方法

说明书

技术领域

本发明涉及一种基于香农信息熵的恶意代码可视化分析方法。

背景技术

Malware(Malicious Software)是一种用于破坏计算机操作系统、窃取敏感信息或非法访问隐私系统的软件，通常以代码、脚本、动态文本或其他软件形式出现。由于传统的恶意程序分析过程往往复杂耗时，即使是经验丰富的安全分析人员也很难发现潜在的攻击模式。为减轻认知负担、提高交互性，将信息可视化技术引入恶意代码分析领域，即Malware安全可视化，正是近年来网络安全研究中的前沿热点。

2008年，美国西点军校(United States Military Academy West Point)的Gregory Conti等人在其设计的可视化分析系统(如图1)中首次提出了灰度图(Gray-scale Images)的思想，以独立于文本的分析视角来快速识别文件和剖析未知文件格式。如图1所示，该系统用户界面的d区和g区分别对应被分析文件的ASCII格式字符串和十六进制格式命令行；c区(Byteview)的像素(pixel)值与g区字节(Byte)的二进制数对应，以灰度图的形式呈现文件的内在特征；b区(Byte Presence)根据c区每行中扩展ASCII码值(0-255)的存在与否来标识自身区域中对应行所在的列，通过这样的映射操作帮助用户掌握文件规律、发现其中异常；f区(Dot Plot)利用文件本身的字节序列矩阵比较文件间的相似度，在用户分类时提供判断依据；其它a、e、h区集成了多种与用户互动的辅助功能。

然而，在分析文件相似性进行分类研究方面，Gregory Conti，Erik Dean，Matthew Sinda and Benjamin Sangster.Visual Reverse Engineering of Binary and Data Files[C].VizSec 2008Symposium on Visualization for Cyber Security(VizSEC2008)的方法使得计算量与文件大小成正比，分析的自动化程度受计算机硬件性能的制约；同时在呈现文件内在特征方面，将字节所对应的c区像素值与反映ASCII码值存在情况的b区割裂开来展示，不利于对被分析文件特征的全面理解。

发明内容

本发明的目的是提供一种能较全面的研究分析恶意代码的方法。

为了达到上述目的，本发明提供了一种基于香农信息熵的恶意代码可视化分析方法，其特征在于，包括：

第一步：将恶意文件的二进制字节转换为“像素图”中像素点的黄色系明暗值，用绿色通道0x50(显示效果可能会因硬件设备不同存在细微差别)来标记像素值为0x20-0x7E的点(即ASCII码中的可打印字符)；

第二步：基于“像素图”的像素值来计算“像素图”中每个256字节块中像素值的局部熵，所述的局部熵按照如下的香农信息熵公式计算：

Entropy=-Σi=0255pi×log2pi]]>

其中，p_i代表字节(像素)值i出现的概率，i的取值范围为0x00-0xFF，Entropy为局部熵；

计算局部熵Entropy的f(Entropy)值，其计算公式为：

f(Entropy)＝2^Entropy-1；

以f(Entropy)的计算结果生成“熵图”；

第三步：对f(Entropy)的计算结果进行归一化处理，生成“熵归一化图”。

优选地，所述的基于香农信息熵的恶意代码可视化分析方法还包括：

第四步：对第一步中的“像素图”进行归一化处理，生成“像素归一化图”。