[发明专利]一种基于结构熵序列的恶意软件分类方法

权利要求书

1.一种基于结构熵序列的恶意软件分类方法，其特征在于，包括以下步骤：

步骤1：输入待分类的恶意软件样本数据集，取部分数据构建训练集；

步骤2：从训练集中选择一个恶意软件样本，将该恶意软件样本转化为二进制流文件；

步骤3：将二进制流文件划分为固定长度的字节块；

步骤4：应用香农公式对中恶意软件样本的每一个字节块进行熵值计算，得到恶意软件样本的结构熵序列；

步骤5：将结构熵序列看作熵时间序列，并应用离散小波变换技术减少熵时间序列的噪声，同时获得近似系数与细节系数；

步骤6：对步骤5中产生的近似系数进行迭代操作；所述的迭代操作具体为：在每一次迭代中，仅使用前一次迭代生成的近似系数作为输入信号；每一次迭代都会生成一个近似系数和一个细节系数，并在执行最后一次迭代时，通过设置阈值的方式，达到减少熵时间序列中的噪声的目的，进而提高分类性能；

步骤7：迭代完成后，使用逆小波变换操作重构熵时间序列，获得更加平滑、噪声更少的平滑熵时间序列；

步骤8：若训练集中所有恶意软件样本均转化成平滑熵时间序列，则执行步骤9；否则，返回步骤2；

步骤9：用训练集训练卷积神经网络模型，得到可识别恶意软件家族的卷积神经网络分类器；具体步骤为：

步骤9.1：应用嵌入层将平滑熵序列映射到要求范围内的单词向量；

步骤9.2：计算卷积层的特征图，将特征图输入到最大池化层；

步骤9.3：将最大池化层的输出平铺成一个向量与全连接层连接，并在输出层输出每个恶意软件样本的分类结果；

步骤10：将其它待分类的恶意软件样本数据集输入到卷积神经网络分类器中，得到分类结果。

2.根据权利要求1所述的一种基于结构熵序列的恶意软件分类方法，其特征在于：所述的步骤3中将二进制流文件划分为固定长度的字节块具体为：划分的块大小和块数量为预先设定，块大小与块数量均为2的指数次幂；其中块大小的指数大于或者等于8，块数量的指数取决于恶意软件家族中所有样本字节长度的中位数和块大小；

如果恶意软件代码的长度大于设定的块大小和块数量的乘积，则需要将划分的块数减少到设定的块数；在减少块数时，保留第一块和最后一块，然后从第一个块开始，每次增加一定的距离选取剩下的块，直到块数达到目标数量；

如果恶意软件代码的长度小于块大小和设定块数的乘积，则需要将划分的块数增加到设定的块数；通过在最后一块前面增加一定数量的、由相同的死代码组成的块的方式，将总块数增加到设定的块数。