[发明专利]一种动静态特征结合的僵尸程序检测与分类方法有效
| 申请号： | 201710987829.9 | 申请日： | 2017-10-21 |
| 公开（公告）号： | CN107832611B | 公开（公告）日： | 2020-12-08 |
| 发明（设计）人： | 薛静锋;张继;郭宇;单纯;刘康 | 申请（专利权）人： | 北京理工大学 |
| 主分类号： | G06F21/56 | 分类号： | G06F21/56;G06K9/62 |
| 代理公司： | 北京理工大学专利中心 11120 | 代理人： | 温子云;仇蕾安 |
| 地址： | 100081 *** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | |||
| 搜索关键词： | 一种 静态 特征 结合 僵尸 程序 检测 分类 方法 | ||
1.一种动静态特征结合的僵尸程序检测与分类方法，其特征在于，
基于静态特征信息，进行僵尸程序检测；检测过程中的特征选择采用了采用改进的TF-IDF算法，改进的TF-IDF算法是在TF-IDF算法计算TF-IDF权重时加入类区分度因子GF，用于表征特征项在某一类别中的出现程度与在其他所有类别中出现程度的比例；所述类区分度因子GF为：
其中，对于特征项tj，类别i中包含特征项tj的样本数记为Cji，除去类别i的其他所有类别中包含特征项tj的样本数记为C！ji；
运行检测的僵尸程序，提取僵尸程序运行的API序列和网路流量信息，处理获得僵尸程序家族分类特征；在获得僵尸程序家族分类特征时，针对API序列，采用n-gram方法来对API序列进行抽取，抽取后的n-gram作为僵尸程序家族分类特征的一部分；所述n-gram方法的n取值为3；
基于僵尸程序家族分类特征，对僵尸程序进行家族分类；在对僵尸程序进行家族分类时，采用改进的决策树ID3算法对僵尸程序进行家族分类；改进的决策树ID3算法为属性的信息增益计算添加了修正因子，该修正因子将属性取值数目偏多的属性对应的信息增益相对变小，用引入该修正因子后信息增益作为划分样本的标准；所述修正因子为
其中，s为修正因子所对应属性的s个不同取值。
2.如权利要求1所述的方法，其特征在于，所述静态特征信息包括opcode、PE节信息和DLL序列。
3.如权利要求1所述的方法，其特征在于，所述处理获得僵尸程序家族分类特征为：采用改进的TF-IDF算法进行处理。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于北京理工大学，未经北京理工大学许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/pat/books/201710987829.9/1.html，转载请声明来源钻瓜专利网。
