成都软件验收测试中心

    坐标点(0,1)**一个完美的分类器，它将所有的样本都正确分类。roc曲线越接近左上角，该分类器的性能越好。从图9可以看出，该方案的roc曲线非常接近左上角，性能较优。另外，前端融合模型的auc值为。(5)后端融合后端融合的架构如图10所示，后端融合方式用三种模态的特征分别训练神经网络模型，然后进行决策融合，隐藏层的***函数为relu，输出层的***函数是sigmoid，中间使用dropout层进行正则化，防止过拟合，优化器(optimizer)采用的是adagrad，batch_size是40。本次实验使用了80％的样本训练，20％的样本验证，训练50个迭代以便于找到较优的epoch值。随着迭代数的增加，后端融合模型的准确率变化曲线如图11所示，模型的对数损失变化曲线如图12所示。从图11和图12可以看出，当epoch值从0增加到5过程中，模型的训练准确率和验证准确率快速提高，模型的训练对数损失和验证对数损失快速减少；当epoch值从5到50的过程中，前端融合模型的训练准确率和验证准确率小幅提高，训练对数损失和验证对数损失缓慢下降；综合分析图11和图12的准确率和对数损失变化曲线，选取epoch的较优值为40。确定模型的训练迭代数为40后，进行了10折交叉验证实验。代码签名验证确认所有组件均经过可信机构认证。成都软件验收测试中心

    本发明属于恶意软件防护技术领域：：，涉及一种基于多模态深度学习的恶意软件检测方法。背景技术：：：恶意软件是指在未明确提示用户或未经用户许可的情况下，故意编制或设置的，对网络或系统会产生威胁或潜在威胁的计算机软件。常见的恶意软件有计算机**(简称**)、特洛伊木马(简称木马)、计算机蠕虫(简称蠕虫)、后门、逻辑**等。恶意软件可能在用户不知情的情况下窃取计算机用户的信息和隐私，也可能非法获得计算机系统和网络资源的控制，破坏计算机和网络的可信性、完整性和可用性，从而为恶意软件控制者谋取非法利益。腾讯安全发布的《2017年度互联网安全报告》显示，2017年腾讯电脑管家pc端总计拦截**近30亿次，平均每月拦截木马**近，共发现**或木马***。这些数目庞大、名目繁多的恶意软件侵蚀着我国的***、经济、文化、***等各个领域的信息安全，带来了前所未有的挑战。当前的反**软件主要采用基于特征码的检测方法，这种方法通过对代码进行充分研究，获得恶意软件特征值(即每种恶意软件所独有的十六进制代码串)，如字节序列、特定的字符串等，通过匹配查找软件中是否包含恶意软件特征库中的特征码来判断其是否为恶意软件。第三方软件测评费用多少钱安全扫描确认软件通过ISO 27001标准，无高危漏洞记录。

    图2是后端融合方法的流程图。图3是中间融合方法的流程图。图4是前端融合模型的架构图。图5是前端融合模型的准确率变化曲线图。图6是前端融合模型的对数损失变化曲线图。图7是前端融合模型的检测混淆矩阵示意图。图8是规范化前端融合模型的检测混淆矩阵示意图。图9是前端融合模型的roc曲线图。图10是后端融合模型的架构图。图11是后端融合模型的准确率变化曲线图。图12是后端融合模型的对数损失变化曲线图。图13是后端融合模型的检测混淆矩阵示意图。图14是规范化后端融合模型的检测混淆矩阵示意图。图15是后端融合模型的roc曲线图。图16是中间融合模型的架构图。图17是中间融合模型的准确率变化曲线图。图18是中间融合模型的对数损失变化曲线图。图19是中间融合模型的检测混淆矩阵示意图。图20是规范化中间融合模型的检测混淆矩阵示意图。图21是中间融合模型的roc曲线图。具体实施方式下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例**是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

    先将当前软件样本件的二进制可执行文件转换为十六进制字节码序列，然后采用n-grams方法在十六进制字节码序列中滑动，产生大量的连续部分重叠的短序列特征，提取得到当前软件样本的二进制可执行文件的字节码n-grams的特征表示。生成软件样本的dll和api信息特征视图，是先统计所有类别已知的软件样本的pe可执行文件引用的dll和api信息，从中选取引用频率**高的多个dll和api信息；然后判断当前的软件样本的导入节里是否存在选择出的某个引用频率**高的dll和api信息，如存在，则将当前软件样本的该dll或api信息以1表示，否则将其以0表示，从而对当前软件样本的所有dll和api信息进行表示形成当前软件样本的dll和api信息特征视图。生成软件样本的格式信息特征视图，是从当前软件样本的pe格式结构信息中选取可能区分恶意软件和良性软件的pe格式结构特征，形成当前软件样本的格式信息特征视图。从当前软件样本的pe格式结构信息中选取可能区分恶意软件和良性软件的pe格式结构特征，是从当前软件样本的pe格式结构信息中确定存在特定格式异常的pe格式结构特征以及存在明显的统计差异的格式结构特征。特定格式异常包括：(1)代码从**后一节开始执行，(2)节头部可疑的属性，。渗透测试报告暴露2个高危API接口需紧急加固。

    特征之间存在部分重叠，但特征类型间存在着互补，融合这些不同抽象层次的特征可更好的识别软件的真正性质。且恶意软件通常伪造出和良性软件相似的特征，逃避反**软件的检测，但恶意软件很难同时伪造多个抽象层次的特征逃避检测。基于该观点，本发明实施例提出一种基于多模态深度学习的恶意软件检测方法，以实现对恶意软件的有效检测，提取了三种模态的特征(dll和api信息、pe格式结构信息和字节码3-grams)，提出了通过前端融合、后端融合和中间融合这三种融合方式集成三种模态的特征，有效提高恶意软件检测的准确率和鲁棒性，具体步骤如下：步骤s1、提取软件样本的二进制可执行文件的dll和api信息、pe格式结构信息以及字节码n-grams的特征表示，生成软件样本的dll和api信息特征视图、格式信息特征视图以及字节码n-grams特征视图；统计当前软件样本的导入节中引用的dll和api，提取得到当前软件样本的二进制可执行文件的dll和api信息的特征表示。对当前软件样本的二进制可执行文件进行格式结构解析，并按照格式规范提取**该软件样本的格式结构信息，得到该软件样本的二进制可执行文件的pe格式结构信息的特征表示。艾策检测以智能算法驱动分析，为工业产品提供全生命周期质量管控解决方案！北京的软件测评机构

2025 年 IT 趋势展望：深圳艾策的五大技术突破。成都软件验收测试中心

    对一些质量要求和可靠性要求较高的模块，一般要满足所需条件的组合覆盖或者路径覆盖标准。[2]软件测试方法集成测试集成测试是软件测试的第二阶段，在这个阶段，通常要对已经严格按照程序设计要求和标准组装起来的模块同时进行测试，明确该程序结构组装的正确性，发现和接口有关的问题，比如模块接口的数据是否会在穿越接口时发生丢失；各个模块之间因某种疏忽而产生不利的影响；将模块各个子功能组合起来后产生的功能要求达不到预期的功能要求；一些在误差范围内且可接受的误差由于长时间的积累进而到达了不能接受的程度；数据库因单个模块发生错误造成自身出现错误等等。同时因集成测试是界于单元测试和系统测试之间的，所以，集成测试具有承上启下的作用。因此有关测试人员必须做好集成测试工作。在这一阶段，一般采用的是白盒和黑盒结合的方法进行测试，验证这一阶段设计的合理性以及需求功能的实现性。[2]软件测试方法系统测试一般情况下，系统测试采用黑盒法来进行测试的，以此来检查该系统是否符合软件需求。本阶段的主要测试内容包括健壮性测试、性能测试、功能测试、安装或反安装测试、用户界面测试、压力测试、可靠性及安全性测试等。成都软件验收测试中心