[发明专利]一种恶意PDF文件的检测方法、装置及电子设备

说明书

本公开提供了一种恶意PDF文件的检测方法、装置及电子设备，该检测方法包括获取待检测PDF文件；提取待检测PDF文件中的待检测特征，基于训练检测模型使用的训练特征确定待检测特征；将待检测特征作为预先训练好的检测模型的输入以得到检测模型的输出，基于检测模型的输出确定待检测PDF文件是否为恶意PDF文件。本公开提供的检测方法，实现了对待检测PDF文件进行全面检测的目的，提高了检测结果的准确性。

技术领域

本公开涉及文件安全技术领域，特别涉及一种恶意PDF文件的检测方法、装置及电子设备。

背景技术

文件例如PDF文件通常具有跨平台的特性，是藏匿和传播恶意代码的重要媒介，由此引起的安全事件不胜枚举。恶意文件检测一直以来吸引了许多研究者注意，恶意PDF文件检测是其中一个分支。由于PDF文件灵活的层次结构，恶意代码很容易嵌入其中，常见的恶意PDF文件攻击方式包括嵌入JavaScript恶意代码、嵌入恶意文件、嵌入恶意链接或交互式表单等。

目前，利用第三方提供的应用程序进行恶意PDF文件扫描，该方式仅对PDF文件整体进行扫描，无法全面的检测PDF文件，导致检测结果的准确性较低。

发明内容

有鉴于此，本公开实施例的目的在于提供一种恶意PDF文件的检测方法、装置及电子设备，用于解决现有技术中检测结果的准确性较低的问题。

第一方面，本公开实施例提供了一种恶意PDF文件的检测方法，其中，所述检测方法包括：

获取待检测PDF文件；

提取所述待检测PDF文件中的待检测特征，基于训练检测模型使用的训练特征确定所述待检测特征；

将所述待检测特征作为预先训练好的所述检测模型的输入以得到所述检测模型的输出，基于所述检测模型的输出确定所述待检测PDF文件是否为恶意PDF文件。

在一种可能的实施方式中，所述检测模型的输出为概率值；所述基于所述检测模型的输出确定所述待检测PDF文件是否为恶意PDF文件，包括：

将所述检测模型输出的概率值与预设阈值进行对比；

若所述概率值大于或等于所述预设阈值，则确定所述待检测PDF文件为恶意PDF文件。

在一种可能的实施方式中，所述检测方法还包括训练所述检测模型的步骤：

获取包含多个携带有标签的PDF文件样本的训练样本集，所述训练样本集包括N个正常PDF文件样本以及M个恶意PDF文件样本，其中，所述正常PDF文件样本携带有正常标签，所述恶意PDF文件样本携带有恶意标签；

针对每个PDF文件样本，提取候选特征，所述候选特征包括至少一个内容特征和至少一个结构特征；

计算每两个所述候选特征之间的关联程度以及计算每个所述候选特征的重要程度和离散程度得到至少一个冗余特征，从所有所述候选特征中去除所述冗余样本特征得到训练特征；

将所述训练特征作为待训练的检测模型的输入以得到训练结果；

计算所述训练结果与理论结果之间的误差值，并在所述误差值大于允许误差值的情况下，调整所述待训练的检测模型的模型参数，直至所述误差值小于或等于所述允许误差值。

在一种可能的实施方式中，所述计算每两个所述候选特征之间的关联程度以及计算每个所述候选特征的重要程度和离散程度得到至少一个冗余特征，包括：

计算每两个所述候选特征之间的相关系数，在所述相关系数大于或等于预设阈值的情况下，则将两个所述候选特征中的一个作为所述冗余特征；

计算每个所述候选特征的重要系数，按照第一划分规则从所有所述候选特征中筛选至少一个所述候选特征作为所述冗余特征；