CN103810424B - 一种异常应用程序的识别方法及装置 - Google Patents

Abstract

本发明提供一种异常应用程序的识别方法和装置，所述方法包括以下步骤：运行已存储的异常应用程序，获取异常应用程序的动态行为信息；将获取的异常应用程序的动态行为信息输入至预先设置的检测网络；通过所述检测网络获取所述动态行为信息的行为规则；根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。本发明能够及时的识别新型的异常应用程序，譬如病毒或者木马，提高了识别以及查杀的效率。

Description

一种异常应用程序的识别方法及装置

【技术领域】

本发明涉及互联网络领域，特别是涉及一种异常应用程序的识别方法和装置。

【背景技术】

随着互联网络的不断普及，对网络安全性能提出了很高的要求。

用户在使用计算机登录互联网络后，经常会因为各种各样的原因感染病毒或者木马，现有技术中，对病毒或者木马等异常应用程序的识别方法包括以下两种形式：

第一、特征扫描方式；该方式技术是在人为发现新病毒后，对病毒进行分析，根据病毒的特点提取病毒特征，将提取的病毒特征加入到数据库中。在后续执行查毒程序时，若发现有可疑文件，则将该可疑文件与病毒数据库中的病毒特征进行匹配，以判断该可疑文件是否含有病毒。该方式的缺点是不能识别未知的病毒，而且随着病毒种类的增多，特别是变形病毒和隐藏性病毒的发展，病毒特征数据库越来越庞大，该方式显然不能满足及时快速查杀病毒的要求。

第二、人工规则行为启发式扫描方式，该方式通过人工分析已知的病毒样本，总结病毒样本的行为规则，然后将总结的规则保存到数据库。在发现可疑文件时，将可疑文件的运行行为与预先存储的行为规则进行逐一匹配，如果匹配搭配一致的行为规则，则判定该可疑文件为病毒。该方式能够对一些未知病毒进行识别，但是随着病毒的不断发展，新型病毒层出不穷，病毒行为也千变万化，而通过人工分析病毒行为然后进行总结的方式，显然效率低下，不能满足查杀病毒的要求。

综上，如何能够及时的识别新型病毒，提高病毒的查杀效率，是需要解决的技术问题之一。

【发明内容】

本发明的一个目的在于提供一种异常应用程序的识别方法，旨在能够及时的识别新型病毒，提高病毒的查杀效率。

为达到上述有益技术效果，本发明构造了一种异常应用程序的识别方法，所述方法包括以下步骤：

运行已存储的异常应用程序，获取异常应用程序的动态行为信息；

将获取的异常应用程序的动态行为信息输入至预先设置的检测网络；

通过所述检测网络获取所述动态行为信息的行为规则；

根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。

在本发明一实施例中：运行已存储的异常应用程序的步骤之前，所述方法还包括以下步骤：

预先生成一检测网络。

在本发明一实施例中：将获取的异常应用程序的动态行为信息输入至预先设置的检测网络的骤具体包括：

将获取的异常应用程序的动态行为信息转化为行为向量；

将所述行为向量输入至所述检测网络。

在本发明一实施例中：运行已存储的异常应用程序的步骤之前，所述方法还包括以下步骤：

建立动态行为信息监控点；

通过所述动态行为信息监控点获取异常应用程序的动态行为信息。

在本发明一实施例中：所述检测网络为反向传播网络。

本发明的另一个目的在于提供一种异常应用程序的识别装置，旨在能够及时的识别新型病毒，提高病毒的查杀效率。

为达到上述有益技术效果，本发明构造了一种异常应用程序的识别装置，所述装置包括：

动态行为信息获取模块，用于运行已存储的异常应用程序，获取异常应用程序的动态行为信息；

动态行为信息传送模块，用于将获取的异常应用程序的动态行为信息输入至预先设置的检测网络；

行为规则获取模块，用于通过所述检测网络获取所述动态行为信息的行为规则；

识别模块，用于根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。

在本发明一实施例中：所述装置还包括：检测网络生成模块，用于预先生成一检测网络。

在本发明一实施例中：所述装置还包括：行为向量转化模块，用于将获取的异常应用程序的动态行为信息转化为行为向量，所述动态行为信息传送模块将所述行为向量输入至所述检测网络。

在本发明一实施例中：所述装置还包括：监控点建立模块，用于建立动态行为信息监控点，所述动态行为信息获取模块通过所述动态行为信息监控点获取异常应用程序的动态行为信息。

在本发明一实施例中：所述检测网络为反向传播网络。

本发明的另一个目的在于提供一种异常应用程序的识别方法，旨在对异常应用程序进行查杀时，避免误判情况的发生。

为达到上述有益技术效果，本发明构造了一种异常应用程序的识别方法，包括：

运行已存储的正常应用程序，获取正常应用程序的动态行为信息；

将获取的正常应用程序的动态行为信息输入至预先设置的检测网络；

通过所述检测网络获取所述动态行为信息的行为规则；

根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否属于正常应用程序。

在本发明一实施例中：运行已存储的正常应用程序的步骤之前，所述方法还包括以下步骤：

预先生成所述检测网络。

在本发明一实施例中：将获取的异常应用程序的动态行为信息输入至预先设置的检测网络的步骤包括：

将获取的正常应用程序的动态行为信息转化为行为向量；

而通过所述检测网络获取所述动态行为信息的所述行为规则的步骤包括：

将所述行为向量输入至所述检测网络，以获取所述动态行为信息的所述行为规则。

在本发明一实施例中：在将获取的正常应用程序的动态行为信息转化为所述行为向量的步骤之前，所述方法还包括以下步骤；预先建立行为向量映射规则；

而将获取的正常应用程序的动态行为信息转化为所述行为向量的步骤包括：

根据所述行为向量映射规则将获取的正常应用程序的动态行为信息映射成所述行为向量。

在本发明一实施例中：运行已存储的正常应用程序的步骤之前，所述方法还包括以下步骤：

建立动态行为信息监控点；以及

通过所述动态行为信息监控点获取正常应用程序的动态行为信息。

在本发明一实施例中：所述检测网络为反向传播网络。

相对于现有技术，本发明预先建立一个检测络，然后运行已存储的异常应用程序，获取异常应用程序的动态行为信息，将获取的动态行为信息输入至检测网络，由所述检测网络总结获取异常应用程序的行为规则，并根据获取的行为规则去识别其它异常应用程序。显然，本发明能够及时的识别新型病毒，提高了病毒的查杀效率。

为让本发明的上述内容能更明显易懂，下文特举优选实施例，并配合所附图式，作详细说明如下：

【附图说明】

图1为本发明提供的异常应用程序的识别方法的较佳实施例流程示意图；

图2为本发明中检测网络的较佳实施例模型示意图；

图3为本发明提供的异常应用程序的识别装置的较佳实施例流程示意图。

【具体实施方式】

以下各实施例的说明是参考附加的图式，用以例示本发明可用以实施的特定实施例。本发明所提到的方向用语，例如「上」、「下」、「前」、「后」、「左」、「右」、「内」、「外」、「侧面」等，仅是参考附加图式的方向。因此，使用的方向用语是用以说明及理解本发明，而非用以限制本发明。在图中，结构相似的单元是以相同标号表示。

请参阅图1，图1为本发明提供的异常应用程序的识别方法的较佳实施例流程示意图。

在步骤S101，预先生成一检测网络。

本发明提供的检测网络优选为反向传播（Back Propagation，BP）神经网络，其中BP神经网络为一种按误差逆传播算法训练的多层前馈网络，BP网络能够学习和存贮大量的输入/输出模式映射关系，而且无需预先揭示描述上述映射关系的数学方程。

在步骤S102，运行已存储的异常应用程序，获取异常应用程序的动态行为信息。

所述异常应用程序譬如为病毒或者木马程序，当然也可以是其它的影响电脑或者终端正常使用的不正当程序，此处不一一列举。

在具体实施过程中，可在虚拟机上运行已存储的异常应用程序，并通过预先建立的行为监控点获取异常信息的动态行为信息，譬如在虚拟机上建立注册表操作监控，文件操作监控，网络连接监控或者应用程序编程接口（Application Programming Interface，API）调用监控等，详细描述请参阅下文。

在步骤S103，将获取的动态行为信息转化为行为向量，并将所述行为向量输入至预先设置的检测网络。

在具体实施过程中，本发明预先建立行为向量映射规则，将获取的动态行为信息映射成行为向量。譬如：

是否操作了危险注册表项，是为1，否为0；

是否操作了敏感文件，是为1，否为0；

是否网络连接做了危险操作，是为1，否为0；

是否操作了API（1），是为1，否为0；

是否操作了API（2），是为1，否为0…

最终，形成一能够代表动态行为信息的结果输出向量{0,1,0,1,1......}。

其中所述检测网络的输入为所述行为向量，输出为结果输出向量，所述结果输出向量代表被扫描应用程序是否有危险，1代表无危险，0代表有危险。

以检测网络为BP神经网络为例，将获取的动态行为信息转化为行为向量的过程描述如下：设BP神经网络表达式为y=f(x)，x代表输入的行为向量，y代表结果输出向量，y=1代表正常（y=1或y接近于1都判定为正常），y=0代表异常（y=0或y接近于0都判定为异常）。现有一行为向量x={1,1,0,1,0,1,0,1...}，属于异常(yd=0，yd代表期望结果值)，将x输入BP神经网络，输出为yc(yc代表实际输出值)。将yd与yc做差平方运算((yd-yc)^2)，判断结果是否小于阀值a,如果小于a，就不需要反馈调整BP网络中各节点权值，如果大于a,就反馈调整BP网络中各节点权值，直到(yd-yc)^2<a。

其中，BP神经网络的权重调整学习率的合适值范围3.0到5.0；动量学习率的合适值范围1.0到1.5，误差限制值的合适值范围0.0001。采用差平方平均值计算误差：((yd-yc)^2)/m<0.0001，其中yd代表期望输出值，yc代表实际输出值。m代表输出层神经元个数，此处为1。

在步骤S104，通过所述检测网络获取行为向量的行为规则。

在步骤S106，通过所述检测网络获取的行为规则对检测到的异常应用程序进行识别。

在具体实施过程中，本发明优选两种应用程序样本，一种为完全异常的应用程序，一种为完全正常的应用程序。而且所述完全异常的应用程序选取不同种类的异常应用程序，之后将选取的异常应用程序逐一运行，通过建立的监控点获取异常应用程序的动态行为信息，并将获取的动态行为信息转化为对应的行为向量，将转化的行为向量输入预先生成的检测网络，并进行反馈训练。

之后选择完全正常的应用程序，之后将正常应用程序逐一运行，通过建立的监控点获取正常应用程序的动态行为信息，并将获取的动态行为信息转化为对应的行为向量，将转化的行为向量输入预先生成的检测网络，并进行反馈训练。本发明运行完全正常的应用程序，并根据运行结果检测其它应用程序，可避免误判情况的发生。

承接步骤S102的描述，本发明中的行为监控分为四大类：

第一、危险注册表项操作监控，即在数据库文件（DB）中预先建立一危险注册项表，将可能存在危险的注册表项存在该危险注册项表中。之后通过虚拟机（VM）运行检测到的应用程序，获取检测到的应用程序的操作注册表项，然后在数据库文件的危险注册项表中进行匹配，判断是否存在与上述检测到的应用程序的操作注册表项一致的危险注册项表，若是，则结果输出向量为1，若否则结果输出向量为0。

第二、敏感文件操作监控，即在数据库文件预先建立一敏感文件项表，将可能存在的敏感文件名和路径存储于该敏感文件项表中。之后通过虚拟机运行检测到的应用程序，获取检测到的应用程序的操作文件项，然后在数据库文件中的敏感文件项表中进行匹配，判断是否存在检测到的应用程序的操作文件项一致的敏感文件名或者路径，若是，则结果输出向量为1，若否则结果输出向量为0。

第三、网络连接监控，即在数据库文件中建立一张危险统一资源定位符表（Uniform Resource Location，URL）和IP表，将可能存在危险URL和IP存在该URL和IP表中。之后通过虚拟机运行检测到的应用程序，获取检测到的应用程序的网络连接信息，然后在URL和IP表中查找是否存在上述网络连接信息，若是，则结果输出向量为1，若否则结果输出向量为0。

第四、系统API调用监控，即在数据库文件中预先存储一系统API调用表。之后通过虚拟机运行检测到的应用程序，获取检测到的应用程序的调用系统API情况，对调用过的系统API对应的表项中设置为1，没有调用过的设置为0，譬如请参阅下表：

API1(FindWindow)	1
		API2(CreateProcess)	0
API3(WriteProcessMemory)	1
		..........	....

本发明提供的检测网络，譬如BP神经网络包括输入层、中间层以及输出层，所述输入层的神经元个数为1003，其中危险注册表项操作监控，敏感文件操作监控和网络连接监控各占3个输入神经元，系统API调用监控占用1000个输入神经元。所述中间层包括第一中间层和第二中间层，所述第一中间层的神经元个数为60000，所述第二中间层的神经元个数为60000。所述输出层的输出值偏向于1或为1时，代表检测到的应用程序正常；所述输出层的输出值偏向于0或为0时，代表检测到的应用程序异常。

请参阅图2，图2为本发明提供的检测网络的较佳实施例模型示意图。在具体实施过程中，所述检测网络采用下述公式（1）和（2）作为此检测网络模型的活化函数（激励函数）。

活化函数：y=1/(1+exp(-x)) （1）

活化函数求导函数：y=1.0/(exp(x)*pow((1.0/exp(x)+1),2.0)) （2）

请一并参阅下表，

从应用程序样本库中随机抽取5000个混合样本进行对比测试扫描，显然基于检测网络（BP神经网络）的检出率高于现有技术中特征扫描方式以及人工规则行为启发式扫描方式的检出率。

请参阅图3，图3为本发明提供的异常应用程序的识别装置的较佳实施例结构示意图，所述异常应用程序的识别装置包括检测网络生成模块31、监控点建立模块32、动态行为信息获取模块33、行为向量转化模块34、动态行为信息传送模块35、行为规则获取模块36以及识别模块37：

所述检测网络生成模块31预先生成一检测网络。其中所述检测网络优选为反向传播网络。所述监控点建立模块32建立动态行为信息监控点。譬如在虚拟机上建立注册表操作监控，文件操作监控，网络连接监控或者应API调用监控等。

所述动态行为信息获取模块33运行已存储的异常应用程序，并通过所述动态行为信息监控点获取异常应用程序的动态行为信息。

所述行为向量转化模块34将获取的异常应用程序的动态行为信息转化为行为向量，所述动态行为信息传送模块35将所述行为向量输入至所述检测网络，即将获取的异常应用程序的动态行为信息输入至预先设置的检测网络。

所述行为规则获取模块35通过所述检测网络获取所述动态行为信息的行为规则；所述识别模块36根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。

关于所述异常应用程序的识别装置的具体的工作过程请参阅上文针对异常应用程序的识别方法的详细描述，此处不再赘述。

本发明预先建立一个检测络，然后运行已存储的异常应用程序，获取异常应用程序的动态行为信息，将获取的动态行为信息输入至检测网络，由所述检测网络总结获取异常应用程序的行为规则，根据获取的行为规则去识别其它异常应用程序。显然，本发明能够及时的识别新型病毒，提高了病毒的查杀效率。

综上所述，虽然本发明已以优选实施例揭露如上，但上述优选实施例并非用以限制本发明，本领域的普通技术人员，在不脱离本发明的精神和范围内，均可作各种更动与润饰，因此本发明的保护范围以权利要求界定的范围为准。

Claims (15)

1.一种异常应用程序的识别方法，其特征在于：所述方法包括以下步骤：

运行已存储的异常应用程序，通过注册表操作监控、文件操作监控、网络连接监控或者应用程序编程接口调用监控获取异常应用程序的动态行为信息；

将获取的异常应用程序的动态行为信息转化为行为向量；

将所述行为向量输入至检测网络，以获取所述动态行为信息的行为规则；其中所述检测网络的激励函数如以下公式所示：

y＝1/(1+exp(-x))，其中x代表输入的行为向量，y代表结果输出向量；以及

根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。

2.根据权利要求1所述的异常应用程序的识别方法，其特征在于：运行已存储的异常应用程序的步骤之前，所述方法还包括以下步骤：

预先生成所述检测网络。

3.根据权利要求1所述的异常应用程序的识别方法，其特征在于：在将获取的异常应用程序的动态行为信息转化为所述行为向量的步骤之前，所述方法还包括以下步骤；预先建立行为向量映射规则；

而将获取的异常应用程序的动态行为信息转化为所述行为向量的步骤包括：

根据所述行为向量映射规则将获取的动态行为信息映射成所述行为向量。

4.根据权利要求1所述的异常应用程序的识别方法，其特征在于：运行已存储的异常应用程序的步骤之前，所述方法还包括以下步骤：

建立动态行为信息监控点；以及

通过所述动态行为信息监控点获取异常应用程序的动态行为信息。

5.根据权利要求1所述的异常应用程序的识别方法，其特征在于：所述检测网络为反向传播网络。

6.根据权利要求1所述的异常应用程序的识别方法，其特征在于：运行已存储的异常应用程序的步骤包括：

运行已存储的不同种类的异常应用程序。

7.一种异常应用程序的识别装置，其特征在于：所述装置包括：

动态行为信息获取模块，用于运行已存储的异常应用程序，通过注册表操作监控、文件操作监控、网络连接监控或者应用程序编程接口调用监控获取异常应用程序的动态行为信息；

动态行为信息传送模块，用于将获取的异常应用程序的动态行为信息转化为行为向量；

行为规则获取模块，用于将所述行为向量输入至检测网络，以获取所述动态行为信息的行为规则；其中所述检测网络的激励函数如以下公式所示：

y＝1/(1+exp(-x))，其中x代表输入的行为向量，y代表结果输出向量；以及

识别模块，用于根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否为异常应用程序。

8.根据权利要求7所述的异常应用程序的识别装置，所述装置还包括：

检测网络生成模块，用于预先生成所述检测网络。

9.根据权利要求7所述的异常应用程序的识别装置，其特征在于：所述装置还包括：

监控点建立模块，用于建立动态行为信息监控点，所述动态行为信息获取模块通过所述动态行为信息监控点获取异常应用程序的动态行为信息。

10.根据权利要求7所述的异常应用程序的识别装置，其特征在于：所述检测网络为反向传播网络。

11.一种异常应用程序的识别方法，其特征在于：所述方法包括以下步骤：

运行已存储的正常应用程序，通过注册表操作监控、文件操作监控、网络连接监控或者应用程序编程接口调用监控获取正常应用程序的动态行为信息；

将获取的正常应用程序的动态行为信息转化为行为向量；

将所述行为向量输入至检测网络，以获取所述动态行为信息的行为规则；其中所述检测网络的激励函数如以下公式所示：

y＝1/(1+exp(-x))，其中x代表输入的行为向量，y代表结果输出向量；

根据获取的行为规则对检测到的应用程序进行识别，以判断检测到的应用程序是否属于异常应用程序。

12.根据权利要求11所述的异常应用程序的识别方法，其特征在于：运行已存储的正常应用程序的步骤之前，所述方法还包括以下步骤：

预先生成所述检测网络。

13.根据权利要求11所述的异常应用程序的识别方法，其特征在于：在将获取的正常应用程序的动态行为信息转化为所述行为向量的步骤之前，所述方法还包括以下步骤；预先建立行为向量映射规则；

而将获取的正常应用程序的动态行为信息转化为所述行为向量的步骤包括：

根据所述行为向量映射规则将获取的正常应用程序的动态行为信息映射成所述行为向量。

14.根据权利要求11所述的异常应用程序的识别方法，其特征在于：运行已存储的正常应用程序的步骤之前，所述方法还包括以下步骤：

建立动态行为信息监控点；以及

通过所述动态行为信息监控点获取正常应用程序的动态行为信息。

15.根据权利要求11所述的异常应用程序的识别方法，其特征在于：所述检测网络为反向传播网络。