[发明专利]一种恶意软件行为特征标识方法

摘要

本发明公开了一种恶意软件行为特征标识方法，通过沙盒或者其他分析工具获取带有时间戳的恶意软件的一个或者多个行为序列，对这些行为序列按照时间戳进行排序，并组合为当前行为序列；分析当前行为序列中可能出现的行为特征的上限；选择是否需要使用可视的单字节字符；根据行为特征的上限值和是否需要可视字符的要求，构建行为特征编码表；根据编码表，将当前行为序列转换为单字节字符序列或者多字节字符序列；对单字节字符序列或者多字节字符序列进行对数级的高重复度压缩。本发明的方法能够在不失去行为序列具有的分析价值前提下，降低运算代价和存储代价，提高或者保持恶意软件不同变种间行为序列的相似性。

主权项

一种恶意软件行为特征标识方法，其特征在于，该方法的步骤为：1）通过分析工具获取带有时间戳的恶意软件的一个或者多个行为序列，其中恶意软件的每个进程对应一个行为序列，对所述行为序列按照时间戳进行排序，组合为当前行为序列；2）分析当前行为序列中可能出现的行为特征的上限，此处的行为特征表示所述当前行为序列中描述一个特定系统行为的标识对象，设定所述行为特征上限值为UpFeatures；3）设定布尔变量为IsVisible，选择是否需要使用可视的单字节字符，所述的可视的单字节字符是指ASCII码表中从33到126之间的可以被屏幕显示的字符，不包含控制字符；4）根据UpFeatures和IsVisible的赋值，构建行为特征编码表；5）根据行为特征编码表，将原有文本格式或者XML格式的行为序列编码为单字节字符序列或者多字节字符序列，从而有效减小当前行为序列的存储代价和作为机器学习方法的输入参数时带来的运算代价；6）计算连续重复度L：在一个单字节字符序列或者多字节字符序列中，定义每一个字符为一个特征，如果一个特征在所述单字节字符序列或者多字节字符序列中连续出现的次数大于1，则认为所述特征存在连续重复度，其中连续出现的次数即为连续重复度L；7）设定重复度压缩起始值StartNum；8）如果L>=StartNum，则进入步骤9），否则，所述单字节字符序列或者多字节字符序列长度保持不变；9）对所述单字节字符序列或者多字节字符序列进行对数级重复度压缩，从而提高或者保持恶意软件不同变种间行为序列的相似性。