[发明专利]恶意代码典型攻击行为检测方法及系统

说明书

本发明公开了恶意代码典型攻击行为检测方法及系统，属于网络安全技术领域，能够实现对恶意代码典型恶意行为攻击过程的全面表征。本发明的技术方案为：在沙箱环境中运行恶意代码，从生成的动态分析报告中提取动态系统调用API序列以及原始本体知识序列。针对每个API均计算分类贡献度，并按照分类贡献度从大到小进行排序，得到恶意性排序序列。顺次选取API作为搜索起点，在原始本体知识序列中找到搜索起点所处的位置A，在原始本体知识序列中，从位置A开始，分别进行前向遍历搜索和后向遍历搜索，提取出与搜索起点同属于一个行为类型的API对应本体知识元组，组成本体知识串。以本体知识串所代表的恶意代码典型攻击行为作为检测结果。

技术领域

本发明涉及网络安全技术领域，具体涉及恶意代码典型攻击行为检测方法及系统。

背景技术

在当前的网络空间环境下，恶意代码已成为攻击者发起网络攻击所主要依赖的武器，并且其攻击机理越发复杂，破坏功能越发强大，由此成为网络空间面临的主要威胁。针对恶意代码造成的严重挑战，研究人员主要采取机器学习方法开展自动化的分析与检测。在检测过程中，研究人员主要采取静态、动态或混合分析的方式提取恶意代码的相关特征，然后采用机器学习的方法训练分类器而开展自动化的检测与分类。

当前针对恶意代码的研究工作主要侧重于对恶意代码的准确检测，即通过提取其相关特征最后给出其是否恶意性的判断结果。当前的研究虽然能够实现对恶意代码的有效检测，但在建立对恶意代码的全面理解和认知方面仍存在明显不足。

因为当前研究仅是提供了一个判断程序是否为恶意代码的结果，未对恶意代码典型恶意行为的攻击过程进行全面分析，从而缺乏对恶意代码典型攻击行为的挖掘和认知，难以实现对恶意代码的全面理解，也不利于制定有针对性的防护措施。

发明内容

有鉴于此，本发明提供了恶意代码典型攻击行为检测方法及系统，通过构建表征恶意代码典型攻击行为的本体知识串，能够实现对恶意代码典型恶意行为攻击过程的全面表征，实现对恶意代码典型攻击行为的全面的挖掘和认知。

为达到上述目的，本发明的技术方案包括如下步骤：

S1、在沙箱环境中运行恶意代码，从生成的动态分析报告中提取动态系统调用API序列以及原始本体知识序列。

S2、针对动态系统调用API序列中的每个API均计算分类贡献度，并按照分类贡献度从大到小进行排序，即为恶意性排序，得到恶意性排序序列

S3、按照恶意性序列顺序，顺次选取API作为搜索起点。

S4、在原始本体知识序列中找到搜索起点所处的位置A，在原始本体知识序列中，从位置A开始，分别进行前向遍历搜索和后向遍历搜索，提取出与搜索起点同属于一个行为类型的API对应本体知识元组，组成本体知识串。

S5、以本体知识串所代表的恶意代码典型攻击行为作为检测结果。

进一步地，动态系统调用API序列包括恶意代码运行过程中系统调用的所有API；原始本体知识序列由每个API对应的本体知识元组组成；每个本体知识元组包含API及其操作对象。

进一步地，前向遍历搜索具体为：取位置A的前一位置对应API，若前一位置对应API的行为类型与搜索起点对应API的行为类型一致，则将前一位置对应API的本体知识元组添加到前向本体知识子串中，并更新位置A为前一位置，重复执行前向遍历搜索，直至前一位置对应API的行为类型与搜索起点对应API的行为类型不一致为止。

后向遍历搜索具体为：取位置A的后一位置对应API，若后一位置对应API的行为类型与搜索起点对应API的行为类型一致，则将后一位置对应API的本体知识元组添加到后向本体知识子串中，并更新位置A为后一位置，重复执行后向遍历搜索，直至后一位置对应API的行为类型与搜索起点对应API的行为类型不一致为止。