[发明专利]基于深度学习的恶意软件汇编格式的检测方法

摘要

一种基于深度学习的恶意软件汇编格式的检测方法，包括以下步骤：1)构建恶意软件样本数据集，并以“.asm”后缀的汇编语言文件类型保存；2)对汇编格式的恶意软件进行处理获得8通道输入数值矩阵；3)构建卷积神经网络分类器；4)根据样本数据集对分类器进行训练以实现对恶意软件样本的分类。本发明的优点是：实现了直接对恶意软件原始文件进行处理和分析，进行端到端的检测的深度学习网络模型。通过深度学习算法，利用带有大卷积核和大池化核的卷积神经网络作为分类检测网络，达到了较好的检测效果，提升了检测精度。在真实恶意软件上的实验结果表明，该算法具有良好的适用性和精度，能够有效的对恶意软件进行检测，取得较好的检测效果。

主权项

1.一种基于深度学习的恶意软件汇编格式的检测方法，其特征在于：所述方法包括以下步骤：/n1)构建恶意软件样本数据集。过程如下：/n1.1)收集各个恶意软件家族样本数据集，数据以“.asm”后缀的汇编语言文件类型保存；/n1.2)考虑各个类别的样本数量差异以及为便于后续的工作，将各个类别数据集以训练集占比约80％、测试集占比约20％的比例划分；/n2)恶意软件汇编格式的处理，过程如下：/n2.1)考虑到实验的效率，为降低资源的使用，筛选100万以下大小字节量的文件作分析，同时将文件的每个字符通过ASCII映射到0-255区间范围，在序列的末尾添加“0”的方式填充为100万大小的定长数组；/n2.2)再使用PyTorch的Embedding函数随机生成256×8大小的映射矩阵将每一位字节映射为8位长度的向量；/n2.3)最终形成1000000*8大小的8通道输入数值矩阵；/n3)构建卷积神经网络分类器。卷积神经网络作为经典的深度学习网络，被广泛地应用在计算机分类任务中。对输入大小为1000000*8大小的8通道输入数值矩阵，构建卷积神经网络分类器，过程如下：/n3.1)将步骤2.3)获取的8通道输入数值矩阵的前四个通道和后四个通道分别通过128个500*4大小的卷积进行一维卷积，分别为卷积层1.1、卷积层1.2，其中卷积层1.1的输出通过Sigmoid激活函数，另一个不作处理，步长均为500；/n3.2)将步骤3.1)获得的两个卷积层的卷积结果通过一个乘积层2进行对应位相乘的哈达玛积运算；/n3.3)将步骤3.2)获取的运算结果通过池化层3进行全局最大值池化，形成128×1大小的高维特征序列，最大限度地降低资源消耗；/n3.4)将步骤3.3)获取的序列通过两个全连接层分别为全连接层4和全连接层5以输出预测数值；/n3.5)最后经过Sigmoid层运用Sigmoid函数输出0-1之间的分类概率，实验最终达到了99.83％的分类精度。/n