text: 一种抗干扰的环境敏感型恶意软件行为相似性评测方法和装置与流程
  随着网络信息技术的高速发展，恶意软件已成为危害网络公共安全的主要威胁之一。
  随着恶意软件数目的爆发式增长，传统的基于特征码与签名的恶意软件分析技术已不能满足新兴的恶意代码检测需求，主动防御、云安全、启发式扫描等技术被提出。
  恶意软件本质上是一个集合名词，来指代故意在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马。
  一般来说，恶意软件包括以下恶意行为特征。
  在众多种类的恶意软件之中，有一类新型的恶意软件正在快速增长，即环境敏感型恶意软件，该类恶意软件具有较高的智能性，可以检测当前的运行环境，若是对自身不利则避免做任何可疑或恶意的行为，这种特性大大增加了检测的难度。
  近年来，针对环境敏感型恶意软件的研究中出现了很多的检测方法，但是目前的检测方式主要存在以下问题:1)对抗检测机制不足，不能确定环境敏感型恶意软件是否释放了恶意行为，影响检测结果;2)若环境敏感型恶意软件具有大量随机行为，则现有的方法检测效果不理想，该类恶意软件作者通常会在恶意软件释放恶意行为前加入大量的随机行为，这会极大的干扰检测判断，而现有的检测方法不能有效处理。
  该方法在多种执行环境下分析和比较可疑软件的行为序列，比较可疑软件在不同环境下的恶意行为，去除恶意软件的干扰行为(例如大量的非恶意随机行为)，评价可疑软件的多行为序列相似性，最终判断可疑软件是否是环境敏感型恶意软件。
  一种抗干扰的环境敏感型恶意软件行为相似性评测方法，其步骤包括:
  1)将可疑软件放置于多种不同的执行环境中，记录可疑软件的行为序列，用作相似性分析的元数据;
  2)对可疑软件的行为序列进行预处理，提出行为序列的模型，进行行为序列的规范化;
  3)对可疑软件的行为序列进行去干扰处理;
  4)设计并实现多行为序列相似性(MBSS)算法，利用该算法计算并比较消除干扰行为后的行为序列相似性;
  更进一步，多种分析环境包括沙盒环境，虚拟机环境，Hypervisor环境和调试环境等，可疑软件在不同的操作环境中执行，记录其行为序列。
  更进一步，本发明提出的行为序列模型的目的是便于行为序列规范化处理，模型中将行为序列作为一个四元组。
  更进一步，四元组包括对象的类型，对象的名称，操作的名称以及相应的属性，用于提供特定操作的附加信息。
  更进一步，由于不同系统中，相同的对象也可能有不同的表现形式，这会对行为序列的分析比较产生很大的影响，甚至导致算法得出一个完全相反的结果。
  环境敏感型恶意软件通常会执行很多独立的干扰行为来对抗检测。
  更进一步，本发明提出一种称为多行为序列相似性(Multiple Behavioral Sequences Similarity，简称MBSS)的算法，该算法可以消除干扰行为，使得比较结果更加可靠并且更具有鲁棒性，其中行为相似性是通过多行为序列的相似性来计算的。
  更进一步，本发明提出了一种简单有效的方法来消除干扰行为。
  更进一步，本发明提出的行为序列相似分数是基于cosine算法来计算的，通过将可疑软件在多种环境下的行为序列相似分数与阈值进行比较，最终判断该可以软件是否是环境敏感型恶意软件。
  一种抗干扰的环境敏感型恶意软件行为相似性评测装置，其包括:
  一种服务器，包括存储器和处理器，所述存储器存储计算机程序，所述计算机程序被配置为由所述处理器执行，所述计算机程序包括用于执行上面所述方法中各步骤的指令。
  2)本发明提出的行为序列模型对可疑软件的行为做了规范化处理，解决了多种环境下的语义偏差，具有良好的可用性和普适性。
  3)本发明提出的MBSS算法相较于现有的相似性评测算法，可以消除可疑软件的干扰行为，大大提升了算法的抗干扰性，提升了本发明方法对行为序列相似性计算的准确度，即提升了环境敏感型恶意软件的检测效率。
  综上所述，本发明提出的一种抗干扰的环境敏感型恶意软件行为相似性评测方法，能够有效的消除恶意软件的大量干扰行为，准确计算行为序列的相似性，使得对该类型恶意软件的检测更准确。
  图2为β值对精度的影响图。
  图3为MBSS算法与层次相似性算法的精度-召回率分析图。
  图4为阈值t对精度-召回率分析的影响图。
  图5为MBSS算法与层次相似性算法的评测效率对比图。
  首先，将可疑软件放置在多种不同的操作环境中执行，并记录可疑软件的行为序列。
  当获取了可疑软件在多种执行环境下的行为序列后，需要对行为序列进行预处理。
  与Bayer等人提出的模型类似，为了便于对行为序列进行规范化处理，本发明将可疑软件的行为序列BP(Behavioral Profile)作为一个四元组。
  obj type的定义如下所示:
  与现实中的API类似，每个操作都必须有一个名字。
  为了消除不同环境下的语义偏差，同时消除恶意软件干扰行为对检测结果的影响，需要对行为序列BP进行规范化处理。
  所以，本实施例采用如下的规范化步骤:
  1)将BP统一的转换为小写形式。
  2)SID设置为一个固定的值。
  3)执行去重操作。
  综上所述，建立本发明的MBSS算法模型如下。
  本实施例采用实验的方式来评估MBSS算法的性能，实验结果选择精度和召回率这两个指标来衡量系统的检测效率。
  为了给MBSS算法选择最优的β值，本实验随机选择140种环境敏感的恶意软件和140种常见的恶意软件作为实验的数据集。
  本实施例从所有分析环境中提取了这些样本的行为学方法，并通过改变2和20之间的参数计算了偏差分数。
  然后，本实施例通过将MBSS算法与层次相似性算法(Hierarchy similarity algorithm)进行比较来评估MBSS算法的效果。
  本实验从所有分析环境中提取了上述测试软件的行为准则，并使用MBSS算法和层次相似性算法计算了偏差得分。
  实验结果显示，MBSS算法相较于层次相似性(Hierarchy similarity)算法给出了更好的结果，原因在于MBSS算法可以解决干扰行为的影响，提升了结果的准确性。
  本实验随机选择1140个环境敏感型恶意软件，这些恶意软件都可以产生大量的干扰行为。
  本发明从所有分析环境中提取了这些样本的行为文件，并计算了基于MBSS的偏差得分。
  表1.MBSS算法与层次相似性算法检测效果对比
  本发明另一实施例提供一种抗干扰的环境敏感型恶意软件行为相似性评测装置，其包括:
  本发明另一实施例提供一种服务器，包括存储器和处理器，所述存储器存储计算机程序，所述计算机程序被配置为由所述处理器执行，所述计算机程序包括用于执行上面所述方法中各步骤的指令。
  也就是说，如果环境敏感型恶意软件产生大量的干扰行为，本发明使用的MBSS算法相比于层次相似性算法拥有更好的检测结果。