[发明专利]一种基于元路径的恶意软件检测方法

说明书

本发明涉及恶意软件检测技术领域，且公开了一种基于元路径的恶意软件检测方法，包括以下步骤：S1、收集足够多恶意软件和良性软件样本，抽取各个软件特征构建异质信息网络；S2、根据算法获得异质信息网络各个顶点的向量表示；S3、根据算法生成各个恶意软件和良性软件的图片表示，并输入进神经网络进行训练得到检测模型；S4.按算法生成待检测软件的图片表示，输入进检测模型进行检测，本发明使用异质信息网络描述应用程序关系之间丰富的语义特征，并使用基于专家先验知识定义的meta‑path，结合更高层次的语义来建立应用程序的语义关联性，解决背景技术中存在的问题。

技术领域

本发明涉及恶意软件检测技术领域，尤其涉及一种基于元路径的恶意软件检测方法。

背景技术

恶意软件(Malware)泛指所有以危害计算机或计算机上运行的软件为企图的软件，其设计目的是创建系统漏洞，并借以造成后门、安全隐患、信息和数据盗窃、以及其他对文件和计算机系统的潜在破坏。常见的恶意代码包括计算机病毒、计算机蠕虫、特洛伊木马等。特洛伊木马是一类看起来具有正常功能，但实际上隐藏着很多用户不希望功能的程序。

据卡巴斯基公布的2020年安全公告显示，2019年11月至2020年 10月间，平均每天检测到36万个新的恶意文件，比2019年增长5.2％， 10.18％的联网电脑使用者遭受过至少一次恶意软件攻击。仅2021年上半年，捕获恶意程序样本数量约2,307万个，日均传播次数达582万余次，涉及恶意程序家族约20.8万个。

现有的恶意软件检测方法，主要分为传统检测和机器学习两种检测类型。传统检测需要依赖大量专家经验，不断更新特征库，因此只能检测已知恶意软件。

基于机器学习的检测类型按是否运行恶意软件，又可以分为静态分析和动态分析两种检测方法。已有的静态分析方法要求分析人员具备较高的专业水平以提取有效的特征，并且在文件加壳、资源混淆等情况下进行特征提取会变得异常困难。动态分析方法要实时监控程序文件的行为，导致大量计算资源被浪费，同时我们很难模拟出恶意软件被激活的合适的条件，也无法确定观测一个恶意软件的恶意行为所需要的时间。

由于采集和分析足够数量的相关样本往往需要较长时间,现有检测方法很难迅速检测出新型恶意软件及其变种，而新型恶意软件的大量出现仍然对整个社会构成持续性的威胁。在新型恶意软件出现的初期，往往出现的样本数量较少，无法为目前的恶意代码检测方法提供足够信息。样本大量出现后，由于初期没有得到有效的防范而导致严重的安全事件时有发生。如何在仅已知少量样本的情况下保证恶意软件检测的准确率与效率，是应对当前新型恶意代软件快速增长形势的关键问题。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种基于元路径的恶意软件检测方法，具备能够快速获得其向量表示并输出检测结果，有效性可以得到保证等优点，用于解决上述背景技术中所存在的问题。

(二)技术方案

本发明提供如下技术方案：一种基于元路径的恶意软件检测方法，包括以下步骤：

S1、收集足够多恶意软件和良性软件样本，抽取各个软件特征构建异质信息网络；

S2、根据算法获得异质信息网络各个顶点的向量表示；

S3、根据算法生成各个恶意软件和良性软件的图片表示，并输入进神经网络进行训练得到检测模型；

S4.按算法生成待检测软件的图片表示，输入进检测模型进行检测。

在一种可能的实施方式中，所述S1中，异质信息网络(HeterogeneousInformation Network)是一种包含多类型对象和表示不同关系的多类型链接的有向图，定义为G＝(V,E)，其中V为顶点集合，E为边集合，顶点为实体，边表示各实体之间的关系。