[发明专利]一种面向多态蠕虫病毒的自动检测方法

说明书

本发明公开了一种面向多态蠕虫病毒的自动检测方法，属于机器学习和网络安全技术领域。本发明首先选定训练用多态蠕虫数据序列，进行平滑后提取得到特征序列，再利用Gaussian‑Bernoulli RBM算法进行优化提取，得到新的特征序列，形成多态蠕虫特征库。本发明可以快速准确的提取出不同种类多态蠕虫病毒的特征序列，并可以分析出多态蠕虫病毒可能存在的潜在变异风险以及可疑的多态蠕虫段序列最终更加准确快速的实现防御。本发明能够人工调整训练参数，调控系统训练方式，提高系统提取多态蠕虫准确度。

技术领域

本发明属于机器学习和网络安全技术领域，具体为涉及一种面向多态蠕虫病毒的自动检测方法。

背景技术

多态蠕虫是一种可变形病毒，每次感染都可改变形态，在自行加密且保持蠕虫原语意不变前提下可进行代码修改操作，进而在网络中快速传播，为互联网带来巨大危害。

“零天”等多态蠕虫病毒已经给互联网带来了巨大危害。多态蠕虫病毒中的勒索蠕虫软件更是将目标从消费者转移到企业，今年，企业的感染率与2018年相比上升了12％，给企业造成了不可计数的损失。此外，勒索病毒的多种变种蠕虫更加难以被发现，而其造成的损失更加无法估计。

尤其随着互联网大数据时代的到来，多态蠕虫特征的高效提取变得越来越困难，互联网安全所面临的问题尤为严峻。因此，计算机蠕虫病毒的检验与防御成了网络安全领域一个非常重要的问题。

发明内容

本发明要解决的技术问题是提供一种面向多态蠕虫病毒的自动检测方法，该方法可高效提取多态蠕虫病毒的特征数据，为多态蠕虫病毒的检验与防御提供有力工具，更好得保证网络安全。

为解决上述技术问题，本发明采用的技术方案是：一种面向多态蠕虫病毒的自动检测方法，包括如下步骤：

步骤1、选定训练用多态蠕虫数据序列，利用N-gram平滑算法对训练序列进行平滑，然后提取得到特征序列，具体操作分为以下分步骤：

1.1)首先根据流量规范，将训练序列进行切分；

1.2)利用N-gram平滑算法对切分得序列进行数据平滑；

1.3)对平滑后的数据进行特征提取，得到特征序列；

步骤2、利用Gaussian-Bernoulli RBM算法对步骤1中得到的特征序列进行降噪处理并提取特征形成低噪声条件下的多态蠕虫特征序列，具体操作分为以下分步骤：

2.1)首先利用Gaussian-Bemoulli RBM算法对步骤1中得到的特征序列进行降噪处理得到降噪特征序列；

2.2)利用Gaussian-Bernoulli RBM算法对所述降噪特征序列进行特征提取，得到低噪声条件下多态蠕虫特征序列。

步骤3、重复步骤2，得到一系列多态蠕虫特征序列形成特征库。

优选的，分步骤1.2中所述N-gram平滑算法为Laplace N-gram算法或Good-TuringN-gram算法。

所述Laplace N-gram算法的平滑公式为：

其中，P(x_i)为算某个词x_i出现的概率，C(x_i)为词x_i在训练用多态蠕虫数据序列中出现的次数，V表示拉普拉斯平滑参数。

优选的，V的取值范围为：1～0.0001。

优选的，分步骤1.2中所述Good-Turing N-gram算法的平滑公式为：