[发明专利]一种基于GPU与贝叶斯网络推理的未知木马的检测方法

权利要求书

1.一种基于GPU与贝叶斯网络推理的未知木马的检测方法，其特征在于，方法包括：

步骤一，主机将程序样本依据样本的指标特征按类别加以识别，对程序的行为序列化，构建程序的行为向量；

步骤二，主机对程序行为向量进行规范化处理，记为L；

步骤三，主机整合系统程序的行为向量，构建特征识别矩阵，记为M；

步骤四，主机将数据传输到设备，进行基于GPU加速的贝叶斯分类器训练，计算训练样本中的条件概率和先验概率，并通过调节矩阵M的样本分布，得到在预设范围内的条件概率和先验概率，构造贝叶斯网络图及贝叶斯分类模型；

步骤五，将构造贝叶斯网络图及贝叶斯分类模型从设备端传输到主机，基于构造贝叶斯网络图及贝叶斯分类模型对主机数据循环进行贝叶斯模型的优化，贝叶斯网络图中节点是各种可检测的行为以及各个行为之间的条件概率表，对主机新接收的数据进行贝叶斯分类模型优化；

步骤六，对主机分类器测试，并对分类器效果进行评价；

按照十折交叉验证，将程序的规范化行为向量样本轮流地以9:1的比例划分为训练集和测试集；

主机将程序样本分成多组，分别构造贝叶斯分类模型，计算出每个贝叶斯分类模型的准确率，根据测试准确率结果，选择贝叶斯分类模型作为分类模型；

准确率为正确区分木马与非木马的次数/全部的测试集数目。

2.根据权利要求1所述的基于GPU与贝叶斯网络推理的未知木马的检测方法，其特征在于，

步骤一中，构建程序的行为向量包括：将程序样本的行为进行编号，将修改注册表的自启动项设为第一预设值，将修改注册表的关联项为第二预设值，将修改win.ini文件为第三预设值，将打开一个tcp端口设置为第四预设值，通过命令行创建进程设置为第五预设值，将注册为系统服务的操作设置为第六预设值；

记录样本程序的行为序列，得到一个程序的行为向量。

3.根据权利要求1所述的基于GPU与贝叶斯网络推理的未知木马的检测方法，其特征在于，

步骤二还包括：规范化处理是使将各个不同程序的行为向量的维度保持一致，选择样本程序行为向量维度中出现次数最多的维度作为行为向量的标准维度，对于维度小于标准维度的行为向量，对所述行为向量设置补维参数来提高维度，对于维度大于标准维度的行为向量，通过主成份分析算法进行降维。