[发明专利]一种受生物基因启发的恶意代码检测方法

权利要求书

1.一种受生物基因启发的恶意代码检测方法，其特征在于，包括以下步骤：

步骤1：定义恶意代码软件基因，所述恶意代码软件基因为指令序列，所述指令序列的结束指令为return、jump、switch或call中的一种；

步骤2：基于定义的恶意代码软件基因对代码进行恶意代码软件基因提取；

步骤3：通过Smith-Waterman算法得出提取的恶意代码软件基因间的距离值；

步骤4：根据提取的恶意代码软件基因间的距离值对提取的恶意代码软件基因进行聚类；

所述步骤4包括：

根据提取的恶意代码软件基因间的距离值，通过公式(3)计算每个基因到其他所有基因的距离总和：

r_i＝d_1i+d_2i+…+d_Ni (3)

其中，r_i为恶意代码软件基因i到其他所有基因的距离总和，N为提取的基因数量；

根据每个基因到其他所有基因的距离总和，通过公式(4)得出基因对的索引值：

其中，M_ij为＜恶意代码软件基因i，恶意代码软件基因j＞基因对的索引值，d_ij为恶意代码软件基因i和恶意代码软件基因j的距离值，r_j为恶意代码软件基因j到其他所有基因的距离总和，N′为目标聚类结果的簇数；

选取M_ij值最小的基因对进行聚类，设定M_ij的阈值，将基因逐一加入到已有聚簇中进行比较，若M_ij不小于阈值，则将M_ij对应的基因对加入对应聚簇，否则建立新的聚簇；

步骤5：根据聚类结果将恶意代码软件基因映射到特征向量上，每类恶意代码软件基因对应特征向量的一维数据；

步骤6：根据所述特征向量，通过机器学习模型构建恶意代码检测器，通过所述恶意代码检测器对待测代码中的恶意代码进行检测。

2.根据权利要求1所述的一种受生物基因启发的恶意代码检测方法，其特征在于，所述步骤3包括：

对于提取的任意两个恶意代码软件基因A＝a₁，a₂，...，a_n和B＝b₁，b₂，...，b_m，其中，a₁，a₂，...，a_n及b₁，b₂，...，b_m分别为恶意代码软件基因A和恶意代码软件基因B的指令，n为恶意代码软件基因A的长度，m为恶意代码软件基因B的长度，通过Smith-Waterman算法得出恶意代码软件基因间的最长公共指令子序列；

通过公式(2)得出恶意代码软件基因A和恶意代码软件基因B的距离值：

d_AB＝max{n，m}-H_nm (2)

其中，H_nm为恶意代码软件基因A和恶意代码软件基因B的最长公共指令子序列的长度。

3.根据权利要求1所述的一种受生物基因启发的恶意代码检测方法，其特征在于，所述特征向量的第i维的值为与第i类恶意代码软件基因最相似的恶意代码软件基因的相似度值，所述相似度值通过公式(5)计算得出：

其中，H_max为恶意代码软件基因与第i类恶意代码软件基因的最长公共指令子序列的长度的最大值。

4.根据权利要求1所述的一种受生物基因启发的恶意代码检测方法，其特征在于，所述机器学习模型为决策树、支持向量机、朴素贝叶斯及随机森林中任意一种。