[发明专利]一种基于结构熵序列的恶意软件分类方法

说明书

本发明属于计算机安全技术领域，具体涉及一种基于结构熵序列的恶意软件分类方法。本发明通过提取噪声更少的结构熵序列并用于训练卷积神经网络模型，可以提取出更加贴近恶意软件本质特征的特征，从而提高恶意软件的分类准确率。本发明的卷积神经网络模型的输入数据噪声更少，所提取的特征更加贴近恶意软件的本质特征，增加了恶意软件的识别率。本发明能够处理大批量数据，且能保持较好的分类性能。

技术领域

本发明属于计算机安全技术领域，具体涉及一种基于结构熵序列的恶意软件分类方法。

背景技术

随着网络技术的飞速发展，恶意软件的不断变种、快速传播成为了信息安全领域面临的巨大挑战。尽管当前安全研究领域针对恶意软件检测工作已经做出了很多改进，但还是无法应对恶意软件呈指数增长的趋势。同时随着恶意软件类别语义的发展，新的恶意软件类别也在增加。安全云脑上半年检测到木马远控病毒样本31780个，共拦截13.46亿次。其中最活跃的木马远控家族是DriveLife，DriveLife木马家族作为供应链木马，在2019年上半年有多次变种，其攻击态势迅速增长，半年拦截数量达1.72亿次。经研究发现，把具有相似行为或特征的恶意软件分类为恶意软件家族，对于恶意软件的分析和检测具有重要的作用。

传统的恶意软件分类方法在特征提取阶段，通常伴随所提取的特征噪声较大的问题。近年来，相关领域的研究人员为了解决该问题，经常将机器学习技术以不同形式结合到恶意软件检测中。卷积神经网络作为目前较为流行的机器学习技术，主要应用于计算机视觉和自然语言处理方向。由于卷积神经网络在图像的特征提取方面具有较强的能力，因此，将卷积神经网络应用于恶意软件的特征提取成为了网络安全领域关注的一个重点。

综上所述，恶意软件分类系统的性能好坏主要取决于特征的提取。因此，研究如何应用卷积神经网络实现鲜明的特征提取，以及如何根据恶意软件的本质特征实现对恶意软件所属家族的分类，对提升分类系统的性能和准确性具有非常重要的科学理论价值与实际应用意义。

发明内容

本发明的目的在于提供一种基于结构熵序列的恶意软件分类方法。

本发明的目的通过如下技术方案来实现：包括以下步骤：

步骤1：输入待分类的恶意软件样本数据集，取部分数据构建训练集；

步骤2：从训练集中选择一个恶意软件样本，将该恶意软件样本转化为二进制流文件；

步骤3：将二进制流文件划分为固定长度的字节块；

步骤4：应用香农公式对中恶意软件样本的每一个字节块进行熵值计算，得到恶意软件样本的结构熵序列；

步骤5：将结构熵序列看作熵时间序列，并应用离散小波变换技术减少熵时间序列的噪声，同时获得近似系数与细节系数；

步骤6：对步骤5中产生的近似系数进行迭代操作；所述的迭代操作具体为：在每一次迭代中，仅使用前一次迭代生成的近似系数作为输入信号；每一次迭代都会生成一个近似系数和一个细节系数，并在执行最后一次迭代时，通过设置阈值的方式，达到减少熵时间序列中的噪声的目的，进而提高分类性能；

步骤7：迭代完成后，使用逆小波变换操作重构熵时间序列，获得更加平滑、噪声更少的平滑熵时间序列；

步骤8：若训练集中所有恶意软件样本均转化成平滑熵时间序列，则执行步骤9；否则，返回步骤2；

步骤9：用训练集训练卷积神经网络模型，得到可识别恶意软件家族的卷积神经网络分类器；具体步骤为：

步骤9.1：应用嵌入层将平滑熵序列映射到要求范围内的单词向量；

步骤9.2：计算卷积层的特征图，将特征图输入到最大池化层；

步骤9.3：将最大池化层的输出平铺成一个向量与全连接层连接，并在输出层输出每个恶意软件样本的分类结果；