[发明专利]对恶意代码检测的方法及系统

摘要

本发明涉及对恶意代码检测的方法及系统，方法包括：A.对训练数据集中单个PE文件的二进制数据提取相应特征；B.对所述特征降维处理；C.通过门控卷积网络提取二进制数据的特征为深度学习模型前半部分；D.将降维后的特征与步骤C得到的特征向量组合后，输入到作为深度学习模型后半部分的全连接神经网络中，生成最终的待分类特征向量；E.所有的PE文件都生成了对应的待分类特征向量；F.对所有待分类特征向量分类后与测试数据集中已知的类别进行比较以验证深度学习模型的正确性，并通过调整参数获得最优的深度学习模型。本发明能够不受恶意代码指令变换的影响，准确检测出未知软件中是否包含恶意代码，并且还提高了检测效率。

主权项

1.对恶意代码检测的方法，其特征包括步骤：A.预处理：将预先已获取的包含PE文件的训练数据集中具有恶意代码的PE文件和正常PE文件分开，对单个PE文件的二进制数据提取相应的特征，包括对应的操作码、API调用序列和PE文件头部字段；B.对所述特征通过层叠降噪自编码器进行降维处理，得到降维后的特征向量；C.将门控卷积网络作为深度学习模型的前半部分，通过门控卷积网络提取二进制数据的特征，作为深度学习模型前半部分的特征向量；D.将步骤B得到的降维后的特征向量输入到所述门控卷积网络中，与步骤C得到的深度学习模型前半部分的特征向量进行组合后，作为新的特征输入到作为深度学习模型后半部分的全连接神经网络中，生成最终的待分类特征向量；E.循环步骤A～步骤D，直到所有的PE文件都生成了对应的待分类特征向量；F.设置测试数据集，在测试数据集中包含正常PE文件和具有恶意代码的PE文件；将测试数据集中的PE文件通过步骤A～步骤E得到的所有待分类特征向量输入分类器进行分类，并将分类结果与测试数据集中已知的PE文件类别进行比较以验证深度学习模型的正确性是否达到期望值，并通过对所述门控卷积网络和全连接神经网络的参数调整获得最优化的深度学习模型。