[发明专利]基于动态行为序列和深度学习的恶意行为实时检测系统

权利要求书

1.一种基于动态行为序列和深度学习的恶意软件实时检测系统，其特征在于，包括：两个核心模块：应用动态行为实时采集子系统和应用行为实时判别子系统，两个辅助模块：数据处理模块和数据通信模块；应用动态行为实时采集子系统包括框架层行为采集模块和内核层行为采集模块；应用行为实时判别子系统包括深度模型及模型管理模块；其中：

所述应用动态行为实时采集子系统用于持续、可靠地记录应用所调用的框架层函数调用接口(以下称API)和内核层系统调用序列，以表征应用所产生的行为；为应用行为判别子系统提供行为判别依据；

所述应用行为实时判别子系统利用深度学习技术探索行为序列信息内在联系，使用机器学习模型对上述调用序列进行即时判别，以检测恶意行为；

所述两个辅助模块：数据处理模块和数据通信模块，用来协助两个核心模块的运行；

所述应用动态行为实时采集子系统部署在移动设备系统中，从安卓系统框架层和安卓系统内核层分别对应用行为相关的关键API调用和系统调用进行插桩，全面覆盖应用的关键行为；对于每个被插桩的API或系统调用，根据所传入的调用参数的不同，将调用细化为不同的行为描述点，以准确地描述应用行为；

所述应用行为实时判别子系统，使用深度学习技术对应用行为序列进行检测判别；具体地，将一段时间内应用通过API调用和系统调用产生的行为描述点，排序组合成应用的动态行为序列，然后将行为序列数据输入到基于深度学习的模型，以实现对应用行为的实时判别。

2.根据权利要求1所述的基于动态行为序列和深度学习的恶意软件实时检测系统，其特征在于，所述应用动态行为采集子系统达到以下目标，以实现完成有效准确的应用动态行为采集：

（a）选择恰当的动态行为采样点以表征应用行为；

（b）完成准确动态行为采集并且无遗漏；

（一）选取采样点

采样点的选取按以下两个策略进行：一是选择能够体现应用基本行为的API调用，二是选择与应用敏感/恶意行为相关的API调用；根据策略一，选择与应用基本行为相关的系统调用，刻画应用实时行为的基本流程，捕获应用的实时状态；标记出关键的行为状态点，提供应用行为执行的上下文环境，以利于定位出应用行为中的敏感/恶意行为；根据策略二，选择监控与应用敏感/恶意行为相关的关键API调用，直接的描述应用当前正在完成的敏感操作，为实时行为判别子系统提供有效的行为数据；

除依照上述策略外，采样点的选取还参考应用的静态特征及动态形为分析结果；应用的静态特征分析包括对应用进行申请的权限进行分析、API调用的静态统计；对于应用申请权限的分析能够指导方案对于涉及敏感权限的应用动态行为的分析以及于权限相关的采样点的选择，保证采样点对恶意应用行为的覆盖完善准确；而API调用的静态统计能够更加直观的指示不同API调用在应用中出现的概率与分布，指导关键采样点的选择与非关键采样点的过滤；应用的动态行为分析包括对应用行为及已插桩采样点捕获情况进行分析；通过对应用行为的动态分析准确地把握应用的恶意行为，指导采样点所需要覆盖的行为范围；同时结合已插桩采样点捕获情况，可以对插桩采样点的完整性有效性进行检查；

（二）进行两层行为采样

当完成行为采样点的选择后，设计两层行为采样方案，以实现对于应用行为的有效且全面采集；具体地，对于应用的大部分行为，使用上述方法选取系统框架层行为采样点进行捕获；对于如调用非安卓系统接口的特殊应用行为，采用插桩内核层系统调用的方式进行捕获；两层行为采样方案的设计，能从多个维度对应用行为进行准确无遗漏的捕获和采集，更完整的构建应用行为表征，提升应用行为实时判别的准确性。

3.根据权利要求2所述的基于动态行为序列和深度学习的恶意软件实时检测系统，其特征在于，所述采样点选取中，进一步以采样桩点的参数信息进行细化，以完成更精确的行为描述；具体地，提取应用参数并进行补充校验，将API调用细化为行为描述点，以提供更加精准的应用行为描述，以利于深度模型对应用行为进行实时判别。