[发明专利]一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统及方法

摘要

本发明公开了一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统及方法。包括进程信息获取模块、进程模式训练模块、进程模式数据库模块、进程模式匹配模块、进程处理模块；通过获取虚拟机的操作系统类型，根据虚拟机的操作系统类型确定与操作系统类型对应的内核数据结构偏移数组，根据内核数据结构偏移数组获取虚拟机中各进程的进程信息，与利用基于相关性剪枝BP神经网络训练方法训练得到的进程行为模式数据库进行匹配，可以准确识别宿主机上不同操作系统的多个虚拟机进程是否有恶意进程，并及时将判断结果输出到处理模块。本发明具有高准确度和实时性的优点。

主权项

一种基于相关性剪枝神经网络的Xen虚拟机恶意进程识别系统，其特征在于：包括进程信息获取模块、进程模式训练模块、进程模式数据库模块、进程模式匹配模块、进程处理模块；进程信息获取模块包括获取模块、查询模块和确定模块，获取模块首先获取Xen虚拟机内存的中断描述符表寄存器的base数值，根据base数值获取操作系统类型，并将操作系统类型输出到查询模块；查询模块接收获取模块输入的操作系统类型，查询预设的内核数据结构偏移集合，确定与操作系统类型对应的内核数据结构偏移数组，数据结构偏移数组为一个二元组，第一个元素是操作系统类型对应的虚拟机的进程链表数据结构，第二个元素是操作系统类型对应的虚拟机中进程信息的偏移量，根据得到的进程链表数据结构确定操作系统类型对应的虚拟机中各进程对应的结构体的虚拟地址，将该虚拟地址和进程信息偏移量输出到确定模块；确定模块接收虚拟地址和进程信息偏移量后，获取所述操作系统类型对应的虚拟机中各进程的进程信息，当本系统的工作状态为进程模式训练阶段时，将进程信息输出给进程模式训练模块，当本系统的工作状态为进程模式匹配阶段时，将进程信息输出到进程模式匹配模块；进程模式训练模块，采用基于相关性剪枝BP神经网络的进程模式训练方法对进程信息进行训练，得到正常进程行为模式和恶意进程行为模式，并将正常进程行为模式和恶意进程行为模式输出到进程模式数据库模块；进程模式数据库模块，将进程模式训练模块输入的正常进程行为模式存储到正常进程行为模式数据库，将进程模式训练模块输入恶意进程行为模式存储到恶意进程行为模式数据库；进程模式匹配模块对接收到的进程信息与恶意进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则该进程是恶意进程，并将匹配结果输出到进程处理模块；若匹配不成功，将该进程信息与正常进程行为模式数据库中数据模式进行模式匹配，若匹配成功，则认为是正常进程，并将匹配结果输出到进程处理模块；若匹配仍不成功，则输出“无法识别”到进程处理模块；进程处理模块对进程模式匹配模块的输入结果进行处理，若输入是正常进程，则不做处理；若是恶意进程，则发出警报信息；若是“无法识别”，则由用户手动处理该进程。