[发明专利]一种基于词袋模型的计算机程序分类方法

权利要求书

1.一种基于词袋模型的计算机程序分类方法，其特征在于：将计算机程序转换为一个由自定义函数或基本块为单位的API调用序列；

计算机程序提取的API调用序列是API调用的组合，一个API调用序列中每个API调用存在上下文依赖关系，利用API调用序列训练基于上下文关系的词袋模型，得到每一个API调用序列以及API调用的向量表示，通过API调用序列的欧式距离计算相似度，判定未知计算机程序的分类；

其中，分类方法模型训练过程描述如下：

(1)针对每一个计算机程序对应的API调用序列其中编号n＝1，2，...，N；

(2)针对第n个API调用序列的第i个API调用初始化内部参数e＝0，方法中初始化用于内部参数θⁿ＝(1，0，...，0)^T∈I^k×1，I^k×1为k维向量，计算该API调用的上下文信息向量序列表示长度为2win_size+1，其中AL(n)表示第n个API调用序列的上下文关系

(3)针对参数依次迭代更新更新计算参数e＝e+gθ^u，其中表示向量转秩，θ^u表示API调用序列u对应的初始化参数θ向量，σ函数表示

L函数表示：

η函数表示：

针对参数更新A^u＝A^u+e，更新AL^u＝AL^u+e，其中A^u表示API调用u对应的初始化API调用向量，AL^u表示API调用u所在的API调用序列向量，更新结束，返回步骤(2)，直至迭代结束；

(4)通过步骤(1)-(3)训练更新得到训练库中每个计算机程序对应的向量ALⁿ，以及每个API调用对应的向量A^m。

2.根据权利要求1所述的一种基于词袋模型的计算机程序分类方法，其特征在于：依据反汇编代码，使用IDAPython程序实现写入IDAPro软件的脚本文件；扫描程序，将计算机程序转换为一个由自定义函数或基本块为单位的API调用序列。

3.根据权利要求1所述的一种基于词袋模型的计算机程序分类方法，其特征在于，分类方法初始化描述如下：

(1)方法中用于表示一个API调用的词向量A长度设置为k，所有的API调用组成一个M×k维的矩阵，即A∈A^M×k；

(2)方法中用于表示一个计算机API调用序列AL向量长度为k；

(3)方法中用于表示滑动窗口长度设置为win_size，确定前后关联的上下调用API数量；

(4)方法中初始化第m(m＝1，...，M)个计算机API调用向量A^m＝(1，0，...，0)^T∈I^k×1，I^k×1为k维向量；

(5)方法中初始化第m个计算机API调用的内部参数θ_m＝(1，0，...，0)^T∈I^k×1，I^k×1为k维向量；

(6)方法中初始化第n(n＝1，...，N)个计算机API调用序列向量I^k×1为k维向量，其中该调用序列的长度为l_n。