[发明专利]基于可解释性深度学习的恶意代码检测方法及装置

权利要求书

1.一种基于可解释性深度学习的恶意代码检测方法，其特征在于，所述方法包括：

获取目标代码，并基于所述目标代码确定对应的灰度图；

基于预训练好的重参数化的恶意代码分类模型、恶意代码分类检测的可解释性模型以及所述目标代码对应的灰度图，确定并显示所述目标代码对应的灰度图的可解释性的第一相关分数矩阵，包括：基于预训练好的重参数化的特征提取模型以及所述目标代码对应的灰度图，确定前向传播过程中所述重参数化的特征提取模型中每一层神经元提取的所述目标代码对应的灰度图的第一特征；根据所述目标可解释性模型，基于上一层每个神经元对应的第一特征以及所述重参数化的特征提取模型中当前层各个神经元与上一层的每个神经元之间的权重，确定上一层的每个神经元的第一相关分数；基于反向传播过程，最大二叉堆模型以及上一层的神经元对应的第一相关分数向量，确定上一层的前n层的神经元的第二相关分数向量；其中，n为大于或等于1的整数；基于所述第二相关分数向量，确定并显示输入层中多个神经元对应的第一相关分数矩阵；

其中，所述预训练好的重参数化的恶意代码分类模型为深度学习模型，用于提取所述目标代码对应的灰度图中的丰富的特征，并用于确定所述目标代码中的恶意代码的目标类型；所述预训练好的重参数化的特征提取模型包含于所述预训练好的重参数化的恶意代码分类模型；所述恶意代码分类检测的可解释性模型中包括最大二叉堆模型和目标可解释性模型；

基于所述第一相关分数矩阵、各种类型的恶意代码对应的模板图和所述恶意代码分类检测的可解释性模型，确定并显示所述目标代码对应的灰度图和各种类型的恶意代码对应的模板图之间的相似度。

2.如权利要求1所述的基于可解释性深度学习的恶意代码检测方法，其特征在于，所述基于反向传播过程，所述最大二叉堆模型以及上一层的神经元对应的第一相关分数向量，确定上一层的前n层的神经元的第二相关分数向量，包括：

基于所述最大二叉堆模型对上一层的神经元对应的第一相关分数向量进行排序，基于排序的第一相关分数向量中的排名超过预设阈值的第一相关分数，确定上一层的前一层的神经元对应的第二相关分数向量。

3.如权利要求2所述的基于可解释性深度学习的恶意代码检测方法，其特征在于，所述基于所述第一相关分数矩阵、各种类型的恶意代码对应的模板图和所述恶意代码分类检测的可解释性模型，确定并显示所述目标代码对应的灰度图和各种类型的恶意代码对应的模板图之间的相似度，包括：

基于恶意代码分类检测的可解释性模型，确定所述各种类型的恶意代码对应的模板图中的第二相关分数矩阵；

基于所述第一相关分数矩阵和所述第二相关分数矩阵，确定所述各种类型的恶意代码对应的模板图与所述目标代码对应的灰度图之间的相似度，并在所述各种类型的恶意代码对应的模板图与所述目标代码对应的灰度图中分别突出显示相似度高于预设阈值的地方。

4.如权利要求3所述的基于可解释性深度学习的恶意代码检测方法，其特征在于，所述预训练好的重参数化的特征提取模型为预训练好的重参数化的VGG19骨干模型，所述VGG19骨干模型的每一卷积层由3x3卷积分支以及1x1卷积分支和恒等映射分支构成；其中，1x1卷积和恒等映射都为卷积核参数除中心位置外的其他位置取值均为0的卷积；之后根据卷积的可加性，将所述3x3卷积分支以及1x1卷积分支和恒等映射分支的卷积的参数相加，得到与原始VGG19骨干模型模型输出完全相同的仅包含一个3x3卷积的单路模型。