[发明专利]恶意文档检测模型的主动学习方法、电子设备及存储介质

说明书

本申请公开了一种恶意文档检测模型的主动学习方法、电子设备及存储介质，该方法包括：获取包含多个未标注的样本的样本集，并确定所述样本的差异性、不确定度和估计风险；基于所述差异性、所述不确定度和所述估计风险对所述样本的训练价值进行评估；选取训练价值符合预设条件的所述样本构建训练集，通过所述训练集对所述恶意文档检测模型进行训练，并更新所述恶意文档检测模型。该方法能够选取出训练价值较高的样本对恶意文档检测模型进行训练，不仅能够过滤掉冗余样本，减少标记工作，且能够排出干扰信息，有助于提高恶意文档检测模型的准确性。

技术领域

本申请涉及恶意文档检测技术领域，特别涉及一种恶意文档检测模型的主动学习方法、电子设备及计算机可读存储介质。

背景技术

文档通常具有跨平台的特性，是藏匿和传播恶意代码的重要媒介，由此引起的安全事件不胜枚举。早期，基于签名匹配的检测方法被广泛用于防范恶意文档，也有动态、静态以及混合态的启发式检测等方法。为了实现恶意文档的智能化检测，机器学习技术在该领域逐渐得到应用。

在大数据时代，恶意软件、恶意文档的数量也呈现高速增长的趋势。若使用被动学习方法训练、维护检测模型，样本标记的工作将十分耗时耗力，而且样本冗余度往往较高，主动学习是解决这一问题的有效途径主动学习的核心在于使模型主动选择高价值的样本进行增量学习，能够显著降低样本标记的工作量。但常规的主动学习方法存在选取的样本质量较差，进而导致在提升检测模型性能方面的作用有限。

发明内容

有鉴于现有技术中存在的上述问题，本申请提供了一种恶意文档检测模型的主动学习方法、电子设备及计算机可读存储介质，本申请实施例采用的技术方案如下：

一种恶意文档检测模型的主动学习方法，包括：

获取包含多个未标注的样本的样本集，并确定所述样本的差异性、不确定度和估计风险，其中，所述差异性表征所述样本与所述样本集中所述样本的差异程度，所述不确定度表征所述样本的信息量的丰富程度，所述估计风险表征误导恶意文档检测模型的风险的高低程度；

基于所述差异性、所述不确定度和所述估计风险对所述样本的训练价值进行评估；

选取训练价值符合预设条件的所述样本构建训练集，通过所述训练集对所述恶意文档检测模型进行训练，并更新所述恶意文档检测模型。

在一些实施例中，所述确定所述样本的差异性，包括：

通过聚类算法对所述样本集中的所述样本进行聚类处理，以获取一个或多个样本簇，每个所述样本簇包括多个所述样本；

确定所述样本与所述样本簇的质心的向量距离，以及所述样本簇的平均质心距离；

基于所述向量距离和所述平均质心距离的比值，确定所述样本的所述差异性。

在一些实施例中，通过如下公式确定所述样本的差异性：

其中，R表示所述差异性；d(x,y)为计算x和y两点之间向量距离的函数；s_unk表示所确定的样本的向量坐标；s_i表示所述样本簇中第i个样本的向量坐标；n表示所述样本簇中样本的数量；C表示所述样本簇的质心的向量坐标。

在一些实施例中，所述确定所述样本的估计风险，包括：

通过所述恶意文档检测模型为所述样本簇中的所述样本添加第一标签；其中，所述第一标签用于标识所述样本属于恶意文档或非恶意文档；

基于所述样本的第一标签与所述样本簇中样本的第一标签的差异程度，确定所述估计风险。

在一些实施例中，通过如下公式确定所述样本的估计风险：