[发明专利]一种基于语义映射关联的恶意代码检测方法

说明书

本发明公开了一种基于语义映射关联融合的恶意代码检测方法，基于恶意代码的动态和静态API序列之间的语义映射关系，将恶意代码样本转化为基于API的特征向量样本，基于得到的恶意代码样本特征向量训练机器学习分类器，实现了恶意代码的检测。本发明通过定义代码行为类型，将代码的静态和动态API序列转换为由行为类型划分的语义块序列，通过语义块之间的映射实现静态和动态API序列的关联和融合，生成了更为丰富特征向量空间，实现了对恶意代码更为系统全面的描绘，有效提升了意代码检测准确率；通过将语义块之间的路径长度作为语义块的权重，可以准确地反映该语义路径的重要程度，从而提高特征向量空间的精确度。

技术领域

本发明涉及恶意代码检测领域，具体涉及一种基于语义映射关联融合的恶意代码检测方法。

背景技术

在网络空间环境下，恶意代码带来的安全威胁与日俱增，针对恶意代码的检测与防护是安全研究的一个重点。基于行为特征检测代码是否具有恶意性是一种常用的恶意代码检测方法。在此方面，API调用信息可以准确反映程序的行为特征，并且可有效抵抗恶意代码混淆等反分析手段，所以通过提取和分析API 调用序列来检测恶意代码的方法已得到广泛应用。

总结已公布的研究成果，可以发现当前基于API调用序列的分析检测方法存在以下不足：(1)研究人员通常仅提取代码的静态或动态API序列，即仅分析和利用代码的静态或动态特征开展检测，而未将两者有效结合起来使用，导致生成的特征向量空间不足，检测过程易受恶意代码混淆手段的影响，最终影响检测准确率；(2)研究人员单独分析代码的静态或动态特征开展检测，缺乏将静态特征和动态特征有效融合的方法，致使研究人员无法有效评估静态特征和动态特征对分析代码恶意性的影响，最终也会影响研究人员对代码恶意性的判断。

发明内容

有鉴于此，本发明提供了一种基于语义映射关联融合的恶意代码检测方法，基于恶意代码的动态和静态API序列之间的语义映射关系，将恶意代码样本转化为基于API的特征向量样本，基于得到的恶意代码样本特征向量训练机器学习分类器，实现恶意代码的检测。

本发明提供了一种基于语义映射关联的恶意代码检测方法，具体包括如下步骤：

步骤1.1、针对恶意代码样本空间中的每个样本代码，分别提取其静态和动态API序列，形成初始API序列；

步骤1.2、对步骤1.1中得到的动态和静态API序列进行净化处理，去除其中隐藏的API噪声；

步骤1.3、基于动态和静态API语义类型的相关性，对步骤1.2得到的动态和静态API序列进行关联融合，生成混合带有权值的API序列，计算每个API 的贡献度，再按照贡献度的数值由大到小的顺序对所有API进行排序；

步骤1.4、在步骤1.3中得到的API排序中，选择排名靠前的N个API作为特征向量，并以各个API在每个样本中出现的次数作为特征值，为每个样本生成特征向量；

步骤1.5、使用步骤1.4生成的恶意代码样本的特征向量作为机器学习方法的输入，对样本进行自动化的分类与检测。

进一步地，所述关联融合包括以下步骤：

步骤2.1、从步骤1.2得到的同一样本的动态和静态API中，分别选取相同类型的API各自组成一个语义块；

步骤2.2、比较步骤2.1生成的同一样本的动态和静态语义块序列，从较短的序列中选取两个连续的语义块节点作为一个长度为2的语义块节点对，在较长的序列中寻找与语义块节点对中第一个语义节点类型相同的节点作为起始点，再在较长的序列中寻找与语义块节点对中另一个语义节点类型相同的节点作为终点，形成包含起始点、终点及中间所有语义块的语义块序列子串，所包含语义块的个数为该子串的长度；

步骤2.3、按照式(1)将这两个子串进行合并，形成一个新的混合序列：