[发明专利]一种对抗性网络的恶意软件检测方法及系统

摘要

本发明提供一种对抗性网络的恶意软件检测方法及系统，可以基于历史软件数据，分析构建一个噪声模拟恶意软件模型，将正常软件、恶意软件输入一个黑盒模型，进行打标，生成软件样本，使用该软件样本训练所述噪声模拟恶意软件模型，模型自身还有不断复合、变异恶意软件的能力。当噪声模拟恶意软件模型训练完毕后，在接入机器学习模块，作为机器学习模块的模拟恶意软件源，不间断地恶意软件训练机器学习模块，帮助提升机器学习模块检测的能力。

主权项

1.一种对抗性网络的恶意软件检测方法，其特征在于，所述方法包括：/n获取历史软件数据，根据已知的恶意软件类型的特征，分析提取历史软件数据中恶意软件的特征向量；/n将历史软件中已知的正常软件、恶意软件输入一个黑盒模型，由黑盒模型将输入的正常软件、恶意软件进行打标，生成软件样本；/n基于所述恶意软件的特征向量，构建噪声模拟恶意软件模型，应用该模型可随机生成已知的各种类型的恶意软件以及多种恶意软件复合；/n所述多种恶意软件复合包括同时具备若干种恶意软件的特征，或者连续输出若干种恶意软件，或变异恶意软件特征；/n将所述噪声模拟恶意软件模型作为对抗性网络的生成器，采用前向神经网络架构搭建生成器，所述生成器的输出不间断地与黑盒模型输出一并送入替代检测器；/n其中，所述替代检测器不间断学习黑盒模型的特征向量，将学习到的梯度信息反馈给生成器，所述生成器根据梯度信息调整所述噪声模拟恶意软件模型的参数；/n所述替代检测器根据两端输入的生成器输出和黑盒模型输出，得出判别结果；如果判别结果为真时，表明生成器输出与黑盒模型输出在特征向量上非常接近，替代检测器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出与黑盒模型输出在特征向量上差别很大，替代检测器将差别度信息、黑盒模型输出的特征向量一并反馈给生成器；/n生成器根据替代检测器的反馈结果调整噪声模拟恶意软件模型的参数，再次生成新的输出；/n当替代检测器得到的判别结果为真的比率大于预先设置的阈值时，表明所述噪声模拟恶意软件模型训练完毕；/n将所述噪声模拟恶意软件模型接入机器学习模块，由所述噪声模拟恶意软件模型不间断随机生成恶意软件流量，供机器学习模块自我学习；/n所述机器学习模块借助所述噪声模拟恶意软件模型，不间断丰富各种恶意软件特征向量样本，对真实网络流量进行恶意软件检测，并将检测结果反馈给管理员，管理员可以定时根据检测结果调整所述噪声模拟恶意软件模型的参数，启动所述噪声模拟恶意软件模型的更新机制。/n