子图相似性的恶意程序检测方法

• 作者: 汪洁 王长青
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: 恶意程序检测 神经网络 子图分布式表示 图相似函数
• 年，卷（期）: 2020,（11）
• 所属期刊栏目: 系统软件与软件工程
• 页码范围: 3436-3447
• 页数: 12页
• 分类号: TP311
• 语种: 中文
• DOI: 10.13328/j.cnki.jos.005863

摘要

动态行为分析是一种常见的恶意程序分析方法,常用图来表示恶意程序系统调用或资源依赖等,通过图挖掘算法找出已知恶意程序样本中公共的恶意特征子图,并通过这些特征子图对恶意程序进行检测.然而这些方法往往依赖于图匹配算法,且图匹配不可避免计算慢,同时,算法中还忽视了子图之间的关系,而考虑子图间的关系有助于提高模型检测效果.为了解决这两个问题,提出了一种基于子图相似性恶意程序检测方法,即DMBSS.该方法使用数据流图来表示恶意程序运行时的系统行为或事件,再从数据流图中提取出恶意行为特征子图,并使用“逆拓扑标识”算法将特征子图表示成字符串,字符串蕴含了子图的结构信息,使用字符串替代图的匹配.然后,通过神经网络来计算子图间的相似性即将子图结构表示成高维向量,使得相似子图在向量空间的距离也较近最后,使用子图向量构建恶意程序的相似性函数,并在此基础上,结合SVM分类器对恶意程序进行检测.实验结果显示,与其他方法相比,DMBSS在检测恶意程序时速度较快,且准确率较高.