[发明专利]一种基于深度学习的恶意代码检测方法及系统

摘要

本发明公开了一种基于深度学习的恶意代码检测方法及系统，该方法包括：通过提取代码中特征并选取有效特征,根据训练样本代码是否包含有效特征构成第一布尔特征向量;通过提取待测代码的特征，根据待测代码是否包括训练阶段的有效特征，构成第二布尔特征向量;在训练阶段输入第一布尔特征向量构建深度置信网络模型，在检测阶段将第二布尔特征向量输入所述深度置信网络模型，根据所述模型输出的结果判断待测代码是否为恶意代码。该方法采用深度学习中的半监督训练学习模型，用大规模的无标记的集合代码样本进行训练，可以节省标注大量样本的时间;且该模型能对实现对已知恶意代码的准确判断和未知恶意代码的准确预测。

主权项

1.一种基于深度学习的恶意代码检测方法，其特征在于，包括：步骤A、提取训练集合中代码的特征并选取有效特征,根据训练样本代码是否包含有效特征构成第一布尔特征向量；步骤B、提取待测代码的特征，根据待测代码是否包括训练阶段的有效特征，构成第二布尔特征向量；步骤C、在训练阶段输入第一布尔特征向量构建深度置信网络模型，在检测阶段将第二布尔特征向量输入所述深度置信网络模型进行运算，根据所述模型输出的结果判断待测代码是否为恶意代码；步骤A具体包括：A1、选取恶意代码和正常代码作为训练集合；A2、提取训练集合中代码的操作码序列的变长N‑gram作为特征；A3、采用加权信息增益的特征选择方法，计算出每个特征对应的加权信息增益，并按照加权信息增益的降序排列选取有效特征；A4、根据每个训练样本代码是否包含所述有效特征，构成第一布尔特征向量；所述步骤C具体包括：C1、通过训练集合的第一布尔特征向量构建深度置信网络模型，对所述深度置信网络模型进行DBN无监督反馈调节，最后对模型进行优化微调权值的BP反馈调节，确定模型的权值；C2、将待测代码的第二布尔特征向量输入同样权值的所述深度置信网络模型进行运算；C3、输出待测代码的标签，所述标签标记出是否为恶意代码；DBN无监督反馈调节过程，通过降低调节输入特征与重构的输入特征向量的误差，不断的调节权值，从而使生成模型可以重构出具有较低误差的原样本；BP反馈调节有监督过程，以样本原始类标和目标输出之间的误差进行 BP 反馈微调，调节整个网络层数的权值，对输入特征向量经过网络得到目标输出，与样本原始类标进行对比，不断降低样本原始类标与目标输出之间的误差来微调网络参数，优化整个面向恶意代码检测的深度置信网络模型。