[发明专利]应用改进的马氏距离计算方法进行固件漏洞检测的方法及系统

说明书

本发明公开了一种应用改进的马氏距离计算方法进行固件漏洞检测的方法及系统，方法包括如下步骤：提取漏洞函数和目标函数特征；初始选取定量的数据计算协方差矩阵；根据新加入的待计算样本，更新协方差矩阵，利用更新后的协方差矩阵计算目标样本与基础样本之间的距离；对于计算出的距离，根据定义的阈值判断待计算的样本属于正样本还是负样本，根据判断出的结果重新对协方差矩阵进行更新。本发明针对数据挖掘中数据集动态变化的现象，在固件漏洞检测过程中，改进了马氏距离计算的方法，在保证计算精度的情况下，大大提高了样本间距离计算的速度。对大规模样本的距离计算取得了较好的时间效果。

技术领域

本发明属于静态的固件漏洞检测领域，涉及固件中漏洞函数特征提取之后不同函数之间相似度的计算，具体涉及一种应用改进的马氏距离计算方法进行固件漏洞检测的方法及系统。

背景技术

固件的漏洞检测分为动态检测和静态检测。动态检测即在电脑模拟的固件运行环境中运行固件，根据动态的数据来对固件的安全性进行评估；静态检测方法，即对一个固件的二进制文件进行了解压以及反编译等操作后，利用数据挖掘等方法来进行漏洞的检测。

在固件漏洞的静态检测中，首先需要获取已知的漏洞函数，对已知的漏洞函数进行特征提取，在一定程度上，获得的特征向量可以代表这个漏洞函数。对于未知的固件，需要检测该固件中是否含有同样的漏洞，则首先需要对固件中所有的函数进行相同的处理，用同样的方法提取未知函数的特征，在得到未知函数的特征之后，一种常用的方式是计算未知函数和已知漏洞函数特征向量之间的距离，设定一个阈值，根据距离的大小以及设置的阈值来判断未知固件是否含有已知漏洞。

在数据挖掘中，经常需要计算样本间的相似度，一般的做法就是计算样本间的距离，常用的距离计算方法有欧式距离，曼哈顿距离，马氏距离，余弦距离等。但不同的距离计算方式同样有各自的优缺点，如最常用的欧式距离，虽然这种距离应用最为广泛，但是它也具有明显的缺点，它将样本的不同属性(即各指标或各变量值)之间的差别等同对待，这一点有时不能满足具体要求。例如在教育研究中，经常遇到对人的分析和判别，个体的不同属性对于区分个体有着不同的重要性，因此不能将这些属性重要性等同看待。马氏距离具有很多的优点，它不受量纲的影响，两点之间的马氏距离与原始数据的测量单位无关，它由标准化数据和中心化数据(即原始数据和均值之差)计算出的二点之间的马氏距离相同，马氏距离还可以排除变量之间相关性的干扰，但是它的缺点同样明显，一个是夸大了变化微小的变量的作用，另一个缺点便是灵活性不高，每次计算一个距离，需要计算一遍原始样本的协方差矩阵，对于维度较高，数据量较大，且不断变换的应用场景，原始的马氏距离计算方法复杂度较高，并不适用。

基于上述马氏距离的缺点，在进行大规模固件漏洞挖掘的过程中，如果考虑使用马氏距离计算样本间距离，不仅要考虑样本量的大小，还需要考虑漏洞函数特征维度过大的缺点，基于此，一种合适的计算方式应对与大规模且动态的样本是非常重要的。

发明内容

本发明要解决的技术问题在于针对现有技术中的上述缺陷，提供一种在保证计算精度的情况下，可提供固件漏洞检测效率的应用改进的马氏距离计算方法的固件漏洞检测方法。

本发明解决其技术问题所采用的技术方案是：

提供一种应用改进的马氏距离计算方法进行固件漏洞检测的方法，包括以下步骤：

步骤1：提取固件中漏洞函数和待检测固件中目标函数特征；

步骤2：，初始选取定量同类型漏洞函数，并计算同类型漏洞函数的特征向量，组成初始样本矩阵，并计算初始样本矩阵的协方差矩阵；

步骤3：根据新加入的待检测函数样本，更新协方差矩阵，利用更新后的协方差矩阵计算目标样本与基础样本之间的距离，在计算过程中，假设所有检测出的漏洞函数与已知的漏洞函数同分布，则最终该分布内所有维度的均值将趋向于已知的漏洞函数特征向量，用漏洞函数的特征向量代替均值以避免均值的计算；最终计算出的距离