[发明专利]恶意代码的特征码提取方法、装置和计算机设备

说明书

本发明提供了一种恶意代码的特征码提取方法、装置和计算机设备。该方法包括：通过恶意代码样本集训练学习模型，得到目标学习模型；将待处理恶意代码划分为多个代码段，得到多个待处理代码段；提取待处理代码段的特征数据；将待处理代码段的特征数据输入目标学习模型；获取目标学习模型的卷积层的输出特征图；计算目标学习模型的卷积层中每个通道上的梯度值；根据输出特征图和梯度值计算热力图数据，其中，热力图数据用于表征待处理代码段对恶意类别的贡献分值；根据贡献分值选定若干待处理代码段作为待处理恶意代码的特征码。通过本发明，能够提升恶意代码的特征码提取的效率和准确性。

技术领域

本发明涉及安全威胁处理技术领域，尤其涉及一种恶意代码的特征码提取方法、装置和计算机设备。

背景技术

随着计算机网络技术的飞速发展，尤其是互联网的应用变得越来越广泛，在给人们生活带来便利的同时，计算机恶意程序对网络信息安全性的威胁也愈加巨大。这些恶意程序一旦发作就会对计算机系统造成破坏，轻则篡改文件、影响系统稳定、窃取信息，重则导致系统瘫痪，甚至破坏系统整体硬件部分，严重地会威胁到信息的安全，造成不可估计的损失。

在现有技术中，对未知的恶意程序的检测时，通常需要人工经验进行分析，但是，人工经验有一定的滞后性，往往覆盖不全，在进行恶意程序的检测时，应对未知威胁能力较差，使得对未知恶意程序的检出准确度并不高。

此外，对于已知类型的恶意程序，目前杀毒软件技术大多通过检测和查杀已知类型的恶意程序，其中使用最广泛的检测方法是特征码技术。现有的特征码提取方法主要包括：

1)反病毒工程师使用反汇编工具将恶意文件反汇编，通过对反汇编后的文件进行详细分析，手动或半自动地提取特征码；

2)从反汇编后的恶意文件中提取多个代码或指令序列形成样本序列集，通过对集合中的序列进行对比或匹配，筛选出符合条件的序列形成特征片段，作为特征码。

但是在企业的实际使用中，上述方法1)基于人工或半自动的方式对反汇编代码进行分析，需要人工参与进行分析，耗费企业大量人力，提取特征码的效率也极其低下，缺少自动化，无法广泛运用于企业内部，特别是小型企业；上述方法2)基于序列片段之间对比或匹配的方式来提取特征码，虽然相对更加自动化，但是序列之间的对比或匹配往往时间复杂度较高，降低提取特征码的速度，无法有效满足海量恶意代码下，实时更新特征码的需求，且易造成误报。这种现状大大限制了特征码技术在企业内部的使用，降低了查杀恶意代码的有效性和实时性。

因此，提供一种恶意代码的特征码提取方法、装置和计算机设备，以提升恶意代码的特征码提取的效率和准确性，成为本领域亟需解决的技术问题。

发明内容

本发明的目的是提供一种恶意代码的特征码提取方法、装置和计算机设备，用于解决现有技术中的上述技术问题。

一方面，为实现上述目的，本发明提供了一种恶意代码的特征码提取方法。

该恶意代码的特征码提取方法包括：通过恶意代码样本集训练学习模型，得到目标学习模型，其中，恶意代码样本集包括多个样本，样本包括恶意代码的多个代码段的特征数据，学习模型包括卷积层，其中，卷积层包括多个通道；将待处理恶意代码划分为多个代码段，得到多个待处理代码段；提取待处理代码段的特征数据；将待处理代码段的特征数据输入目标学习模型；获取目标学习模型的卷积层的输出特征图；计算目标学习模型的卷积层中每个通道上的梯度值；根据输出特征图和梯度值计算热力图数据，其中，热力图数据用于表征待处理代码段对恶意类别的贡献分值；根据贡献分值选定若干待处理代码段作为待处理恶意代码的特征码。