[发明专利]基于孪生网络的恶意进程识别方法、装置、电子设备及存储介质

权利要求书

1.一种基于孪生网络的恶意进程识别方法，其特征在于，所述方法包括：

获取反映客户端的进程行为的序列化日志作为原始样本，并以各个进程行为类型作为原始样本添加的标签，所述反映客户端的进程行为的序列化日志包括该进程运行过程中的API或系统调用的日志；所述进程行为包括非恶意进程行为和不同类型的恶意进程行为；

对各个原始样本进行序列化处理得到相应进程的行为特征向量；

利用所述行为特征向量进行孪生网络训练；

利用训练得到的孪生网络对待检测行为进程进行恶意行为进程识别，以得到所述待检测行为进程的标签。

2.如权利要求1所述的基于孪生网络的恶意进程识别方法，其特征在于，对各个原始样本进行序列化处理得到相应进程的行为特征向量包括：

用精简与恶意行为无关调用栈的方法和/或压缩循环重复序列的方法对各个原始样本进行特征选取以去除冗余特征；

对各个经过特征选取的原始样本进行序列化处理得到相应进程的行为特征向量。

3.如权利要求1或2所述的基于孪生网络的恶意进程识别方法，其特征在于，所述利用所述行为特征向量进行孪生网络训练包括：

构建孪生网络模型，其包括用于处理输入的两个相似空间映射网络分支；

将所述行为特征向量进行两两组合形成输入对，将各个输入到该孪生网络模型中进行模型训练，输出所述输入对对应的两个特征嵌入向量，并根据该两个特征嵌入向量计算得到输入对的相似度估计值；

将输入对的相似度估计值和相似度真实值输入到孪生网络损失函数中计算损失，通过梯度反向传播优化孪生网络模型的权重参数矩阵和偏差参数矩阵，直至损失不再下降，得到训练好的孪生网络模型。

4.如权利要求3所述的基于孪生网络的恶意进程识别方法，其特征在于，所述损失函数是输入对的相似度估计值和相似度真实值的交叉熵。

5.如权利要求3所述的基于孪生网络的恶意进程识别方法，其特征在于，所述利用训练得到的孪生网络对待检测行为进程的行为特征向量进行恶意行为进程识别包括：

针对每一类进程，利用所述训练得到的孪生网络确定该类进程的行为特征向量被孪生网络映射后的特征嵌入向量，并利用中心函数对所述每一类进程的特征嵌入向量进行加和平均得到各类的平均映射中心；

将待检测行为进程的行为特征向量输入到所述训练得到的孪生网络得到映射后的特征嵌入向量；

计算待检测行为进程的特征嵌入向量和各个平均映射中心的相似度，并将所述的相似度估计值与预设的相似度阈值进行比较，若大于预设值，则将平均映射中心对应的标签作为待检测行为进程的标签。

6.如权利要求5所述的基于孪生网络的恶意进程识别方法，其特征在于，所述方法还包括将所述行为特征向量分为训练集和验证集，所述训练集中的行为特征向量用于进行孪生网络训练，所述验证集中的行为特征向量用于确定所述预设的相似度阈值。

7.如权利要求6所述的基于孪生网络的恶意进程识别方法，其特征在于，所述确定所述预设的相似度阈值包括：

将所述验证集中的行为特征向量输入两两组合形成输入对，并将各个输入到训练得到的孪生网络得到相似度估计值；

设定相似度阈值的初始值，并根据相似度阈值的初始值确定各个输入对的标签是否相同，若所述输入对的标签的正确率不满足预设条件，则调整相似度阈值直至满足预设条件，并确定满足所述预设条件的相似度阈值作预设的相似度阈值。