[发明专利]一种基于变量名混淆程度的脚本启发式检测方法及系统

说明书

本发明提出一种基于变量名混淆程度的脚本启发式检测方法及系统，通过收集英文单词语料库；并使用监督类型的机器学习方法对收集到的语料库进行分类模型训练；将待检测脚本中提取出的变量名输入分类模型，对输出结果进行统计，如果统计结果中有一项或多项大于预设值，则待检测脚本为恶意。通过本发明的方法解决了现有脚本检测维护复杂，资源占用高、运行速度慢的问题。

技术领域

本发明涉及计算机网络安全领域，特别涉及一种基于变量名混淆程度的脚本启发式检测方法及系统。

背景技术

近年来，恶意脚本呈爆炸趋势增加，其中大量脚本使用了种类繁多的混淆手段，以避免反病毒引擎的查杀，增加了分析人员的时间成本和反病毒引擎的检测难度。因此对于混淆脚本的检测能力，成为了对抗恶意脚本的一项关键能力。

传统的脚本检测方式是，检测程序模拟脚本的解释执行，得到其可能的执行路径。这种方法需要针对每种脚本需要开发专门的虚拟执行引擎，实现较为复杂，具有很高的开发和维护成本；并且在检测过程中，还可能消耗大量存储空间与计算资源，通常运行效率也不高。

发明内容

本发明就是要解决以上问题，提出一种基于变量名称混淆程度的脚本启发式检测方法及系统，根据变量名称的混淆程度，高效快速判断恶意脚本。

一种基于变量名混淆程度的脚本启发式检测方法，包括：

收集英文单词语料库；

整合收集到的语料库，使用监督类型的机器学习方法对收集到的语料库进行分类模型训练；

解析待检测脚本，提取出所有变量名称；

将变量名称逐一通过分类模型，判断是否为随机字符串；

对待检测脚本中的随机字符串进行统计；统计内容至少包括随机字符串数量及平均长度；

若所述统计内容中有至少一项超过预设值，则所述待检测脚本为恶意；

所述监督类型的机器学习方法为马尔科夫链法。

马尔科夫链法对收集到的语料库进行分类模型训练方式具体为：

对语料库中的所有单词进行分割，产生多个由两个字母组成的片段，生成状态转移矩阵，对片段进行频率统计；

选取常规单词，以上述相同方式分割，利用上述生成的状态转移矩阵，计算常规单词的出现频率均值，作为常规单词频率；

选取随机非单词字符串，以上述相同方式分割，利用上述生成的状态转移矩阵，计算随机非单词字符串的出现频率均值，作为随机字符串频率；上述常规单词频率应大于随机字符串频率；

根据常规单词频率及随机字符串频率计算分类频率阈值；

将变量名称逐一通过分类模型，判断是否为随机字符串，具体为：将变量名传入分类模型，所述变量名将按照上述方式分割为片段，利用上述生成的状态转移矩阵，计算变量名的出现频率，并与分类频率阈值比较，若大于分类频率阈值，则所述变量名为正常，若小于分类频率阈值，则所述变量名为随机字符串。

一种基于变量名混淆程度的脚本启发式检测系统中，包括：

语料库收集模块，用于收集英文单词语料库；

模型训练模块，用于整合收集到的语料库，使用监督类型的机器学习方法对收集到的语料库进行分类模型训练；

脚本解析模块，用于解析待检测脚本，提取出所有变量名称；

判断模块，用于将变量名称逐一通过分类模型，判断是否为随机字符串；