北京市软件测评中心

    特征之间存在部分重叠，但特征类型间存在着互补，融合这些不同抽象层次的特征可更好的识别软件的真正性质。且恶意软件通常伪造出和良性软件相似的特征，逃避反**软件的检测，但恶意软件很难同时伪造多个抽象层次的特征逃避检测。基于该观点，本发明实施例提出一种基于多模态深度学习的恶意软件检测方法，以实现对恶意软件的有效检测，提取了三种模态的特征(dll和api信息、pe格式结构信息和字节码3-grams)，提出了通过前端融合、后端融合和中间融合这三种融合方式集成三种模态的特征，有效提高恶意软件检测的准确率和鲁棒性，具体步骤如下：步骤s1、提取软件样本的二进制可执行文件的dll和api信息、pe格式结构信息以及字节码n-grams的特征表示，生成软件样本的dll和api信息特征视图、格式信息特征视图以及字节码n-grams特征视图；统计当前软件样本的导入节中引用的dll和api，提取得到当前软件样本的二进制可执行文件的dll和api信息的特征表示。对当前软件样本的二进制可执行文件进行格式结构解析，并按照格式规范提取**该软件样本的格式结构信息，得到该软件样本的二进制可执行文件的pe格式结构信息的特征表示。漏洞扫描报告显示依赖库存在5个已知CVE漏洞。北京市软件测评中心

    **小化对数损失基本等价于**大化分类器的准确度，对于完美的分类器，对数损失值为0。对数损失函数的计算公式如下：其中，y为输出变量即输出的测试样本的检测结果，x为输入变量即测试样本，l为损失函数，n为测试样本(待检测软件的二进制可执行文件)数目，yij是一个二值指标，表示与输入的第i个测试样本对应的类别j，类别j指良性软件或恶意软件，pij为输入的第i个测试样本属于类别j的概率，m为总类别数，本实施例中m＝2。分类器的性能也可用roc曲线(receiveroperatingcharacteristic)评价，roc曲线的纵轴是检测率(true****itiverate)，横轴是误报率(false****itiverate)，该曲线反映的是随着检测阈值变化下检测率与误报率之间的关系曲线。roc曲线下面积(areaunderroccurve，auc)的值是评价分类器比较综合的指标，auc的值通常介于，较大的auc值一般表示分类器的性能较优。(3)特征提取提取dll和api信息特征视图dll(dynamiclinklibrary)文件为动态链接库文件，执行某一个程序时，相应的dll文件就会被调用。一个应用程序可使用多个dll文件，一个dll文件也可能被不同的应用程序使用。api(applicationprogramminginterface)函数是windows提供给用户作为应用程序开发的接口。软件评测费用标准无障碍测评认定视觉障碍用户支持功能缺失4项。

    保留了较多信息，同时由于操作数比较随机，某种程度上又没有抓住主要矛盾，干扰了主要语义信息的提取。pe文件即可移植文件导入节中的动态链接库(dll)和应用程序接口(api)信息能大致反映软件的功能和性质，通过一个可执行程序引用的dll和api信息可以粗略的预测该程序的功能和行为。belaoued和mazouzi应用统计khi2检验分析了pe格式的恶意软件和良性软件的导入节中的dll和api信息，分析显示恶意软件和良性软件使用的dll和api信息统计上有明显的区别。后续的研究人员提出了挖掘dll和api信息的恶意软件检测方法，该类方法提取的特征语义信息丰富，但*从二进制可执行文件的导入节提取特征，忽略了整个可执行文件的大量信息。恶意软件和被***二进制可执行文件格式信息上存在一些异常，这些异常是检测恶意软件的关键。研究人员提出了基于二进制可执行文件格式结构信息的恶意软件检测方法，这类方法从二进制可执行文件的pe文件头、节头部、资源节等提取特征，基于这些特征使用机器学习分类算法处理，取得了较高的检测准确率。这类方法通常不受变形或多态等混淆技术影响，提取特征只需要对pe文件进行格式解析，无需遍历整个可执行文件，提取特征速度较快。

    没有满足用户的需求1未达到需求规格说明书表明的功能2出现了需求规格说明书指明不会出现的错误3软件功能超出了需求规格说明书指明的范围4软件质量不够高维护性移植性效率性可靠性易用性功能性健壮性等5软件未达到软件需求规格说明书未指出但是应该达到的目标计算器没电了下次还得能正常使用6测试或用户觉得不好软件缺陷的表现形式1功能没有完全实现2产品的实际结果和所期望的结果不一致3没有达到需求规格说明书所规定的的性能指标等4运行出错断电运行终端系统崩溃5界面排版重点不突出，格式不统一6用户不能接受的其他问题软件缺陷产生的原因需求错误需求记录错误设计说明错误代码错误兼容性错误时间不充足缺陷的信息缺陷id缺陷标题缺陷严重程度缺陷的优先级缺陷的所属模块缺陷的详细描述缺陷提交时间缺陷的严重程度划分1blocker系统瘫痪异常退出计算错误大部分功能不能使用死机2major功能点不符合用户需求数据丢失3normal**功能特定调点断断续续4Trivial细小的错误优先级划分紧急高中低。代码质量评估显示注释覆盖率不足30%需加强。

    这样做的好处是，融合模型的错误来自不同的分类器，而来自不同分类器的错误往往互不相关、互不影响，不会造成错误的进一步累加。常见的后端融合方式包括**大值融合(max-fusion)、平均值融合(averaged-fusion)、贝叶斯规则融合(bayes’rulebased)以及集成学习(ensemblelearning)等。其中集成学习作为后端融合方式的典型**，被广泛应用于通信、计算机识别、语音识别等研究领域。中间融合是指将不同的模态数据先转化为高等特征表达，再于模型的中间层进行融合，如图3所示。以深度神经网络为例，神经网络通过一层一层的管道映射输入，将原始输入转换为更高等的表示。中间融合首先利用神经网络将原始数据转化成高等特征表达，然后获取不同模态数据在高等特征空间上的共性，进而学习一个联合的多模态表征。深度多模态融合的大部分工作都采用了这种中间融合的方法，其***享表示层是通过合并来自多个模态特定路径的连接单元来构建的。中间融合方法的一大优势是可以灵活的选择融合的位置，但设计深度多模态集成结构时，确定如何融合、何时融合以及哪些模式可以融合，是比较有挑战的问题。字节码n-grams、dll和api信息、格式结构信息这三种类型的特征都具有自身的优势。专业机构认证该程序内存管理效率优于行业平均水平23%。上海第三方软件检测公司

多平台兼容性测试显示Linux环境下存在驱动适配问题。北京市软件测评中心

    这种传统方式几乎不能检测未知的新的恶意软件种类，能检测的已知恶意软件经过简单加壳或混淆后又不能检测，且使用多态变形技术的恶意软件在传播过程中不断随机的改变着二进制文件内容，没有固定的特征，使用该方法也不能检测。新出现的恶意软件，特别是zero-day恶意软件，在释放到互联网前，都使用主流的反**软件测试，确保主流的反**软件无法识别这些恶意软件，使得当前的反**软件通常对它们无能为力，只有在恶意软件大规模传染后，捕获到这些恶意软件样本，提取签名和更新签名库，才能检测这些恶意软件。基于数据挖掘和机器学习的恶意软件检测方法将可执行文件表示成不同抽象层次的特征，使用这些特征来训练分类模型，可实现恶意软件的智能检测，基于这些特征的检测方法也取得了较高的准确率。受文本分类方法的启发，研究人员提出了基于二进制可执行文件字节码n-grams的恶意软件检测方法，这类方法提取的特征覆盖了整个二进制可执行文件，包括pe文件头、代码节、数据节、导入节、资源节等信息，但字节码n-grams特征通常没有明显的语义信息，大量具有语义的信息丢失，很多语义信息提取不完整。此外，基于字节码n-grams的检测方法提取代码节信息考虑了机器指令的操作数。北京市软件测评中心