[发明专利]计算机程序恶意行为的检测

说明书

本发明公开了一种用于判断例如安卓系统上的计算机程序实时恶意行为的方法。将所述计算机程序生成的拦截API的总序列中的第一API序列存储和转换为向量表示，所述第一API序列包括输入以及所述第一序列中API和所述总序列中的API的统计信息，用于判断所述计算机程序的行为是否异常。通过不同类型的机器学习中的预训练数据集和模型来进行判断。

技术领域

本发明涉及计算机科学，尤其涉及一种计算机程序行为是否异常的实时检测。基于以下输入来判断：1.从计算机程序的拦截系统类调用的大集合中选取一个最近的系统类调用子集。2.子集和大集合中与系统类调用相关的统计信息。预训练的判断模块使用机器学习来判断输入是否指示异常行为。为了减少移动设备等设备的计算和存储需求，输入被转换为向量表示，只存储最近的一个子集，统计信息包括的信息相对较旧。

背景技术

根据一家信息安全公司G Data公司的报告(C.卢埃克《每天有8400个新的安卓恶意软件样本》)，2017年每天发现8400个安卓恶意软件，即每10秒发现一个新的安卓恶意软件。为了应对不断变化的安卓恶意软件，近年来，已经开发出基于机器学习的应用程序-审核系统，用于自动检测安卓恶意软件。虽然部署在市场侧或设备侧的静态或动态分析系统能够检测到大多数恶意软件，但它们受到例如代码混淆技术、反仿真器技术等的限制。

德雷宾(Drebin)系统由D.阿尔普、H.加斯康、M.许伯纳、K.里克和M.斯皮瑞特本巴斯发表在2014年2月互联网协会在美国加利福尼亚州圣地亚哥举办的第21届年度网络和分布式系统安全研讨会(NDSS'14)会刊《Drebin：一款高效、可解释的安卓恶意软件检测便携式系统》中。Drebin系统是一个在软件安装时直接在智能手机上检测安卓恶意软件的轻量级系统。Drebin对安卓应用程序进行静态分析，从清单文件和分解代码中收集8个特征集。利用独热向量表示，将这些特征映射到54.5万维向量空间。然后，基于恶意软件类和良性类对线性支持向量机模型进行训练，并将其部署在智能手机上，用于检测恶意应用程序。

N.麦克劳林、J.M.德内林肯、B.康、S.叶里玛、P.米勒、S.沙斯、Y.萨法伊、E.奇克尔、Z.赵、A.杜普和G.J.安发表在美国纽约州纽约市301-308号召开的第七届计算机协会(ACM)数据和应用安全与隐私会议(CODASPY’17)的会刊《深度安卓恶意软件检测》中公开了一种深度安卓恶意软件检测系统。一种基于深度卷积神经网络(convolutional neuralnetwork，简称为CNN)的安卓恶意软件检测，以分解的操作码序列作为输入。这些分解的操作码被编码为独热218维向量。

上述两种系统的重点是安卓应用程序的静态恶意软件分析。因此，这两种系统有静态分析的缺点，例如难以攻克代码混淆技术、原生代码等。

发明人发现存在基于第三方学习的实时检测方法，但这方面的公开信息比较有限。此外，发明人的分析表明，这些方法需要对监测单元进行有限的统计分析，而且由于监测单元序列的大小而有较高的存储和计算要求。

发明内容

实施例提供了一种用于判断例如安卓系统上的计算机程序实时恶意行为的方法。将所述计算机程序生成的拦截系统类调用的大序列(如总序列)中的系统类调用第一序列(如API)存储和转换为向量表示。所述向量表示包括输入，结合所述第一序列中API和所述大序列中的API的统计信息，用于判断所述计算机程序的行为是否异常。在本实施例中，通过不同类型的机器学习中的预训练数据集和模型来进行判断。其他实施例提供了一种实现本发明方法的装置和计算机程序。

为实现上述目的，本实施例采用如下技术方案：

本实施例的第一方面提供了一种用于监控计算机程序的方法，包括：

-在t0时刻，从所述计算机程序调用的第一数量N1个监控单元中获取所述计算机程序调用的第二数量N2个监控单元，其中，所述第二数量N2个监控单元预配置为小于所述第一数量N1个监控单元，一个监控单元对应所述计算机程序执行的一个动作；