一种远程控制程序的检测方法和装置制造方法及图纸

本发明专利技术实施例提供一种远程控制程序的检测方法和装置，所述方法包括：监测待检测程序，获取所述待检测程序的文本格式的行为数据；根据所述行为数据中的词语内容和频率将所述行为数据转换为行为向量；将所述行为向量输入训练后的RNN模型对所述待检测程序进行分类识别，得到所述待检测程序的程序类别。得到所述待检测程序的程序类别。得到所述待检测程序的程序类别。

【技术实现步骤摘要】
一种远程控制程序的检测方法和装置


[0001]本专利技术涉及远程控制网络攻击领域，尤其涉及一种远程控制程序的检测方法和装置。

技术介绍

[0002]随着计算机的应用，越来越多的计算机安全问题被暴露出来，其中可以对计算机进行远程控制的远程控制程序常被攻击者用来远程操作计算机，远程控制程序是通过首先在受害主机上植入被控制程序，然后在攻击者主机上运行控制程序，控制程序与被控制程序建立网络通信，攻击者通过控制程序使受害主机可以执行网络通信传输文件、下发指令和命令执行功能。
[0003]目前，针对远程控制程序的检测已成为安全检测中重要技术手段，现在主流手段主要是通过安全软件对计算机上的待检测程序的文件读取、网络传输和程序进程行为进行检测，将待检测程序的行为与已知远程控制程序的行为进行比对，如果检测发现待检测程序与已知远程控制程序存在相同的行为，则判断待检测程序为远程控制程序。攻击者为了避免远程控制程序被安全软件检测出来，不断研究出新的规避方法，由于安全软件是对待检测软件的特征与已知的远程控制程序特征进行比对实现对远程控制程序的检测，攻击者通过修改远程控制程序的文件读取、网络传输和程序进程行为特征改变远程程序的已知特征，从而实现远程控制程序规避安全软件的检测。现有的远程控制软件的检测方法依赖于对远程程序的特征，存在无法对新的远程程序的检测。现有技术无法对没有已知特征的远程控制程序进行识别，导致攻击者能通过修改已知特征绕过安全检测。传统安全软件依赖正则匹配，需要人为调整规则，增加因人引入的错误。
[0004]在实现本专利技术过程中，申请人发现现有技术中至少存在如下问题：
[0005]现有技术无法检测出改变了行为特征的现有远程控制程序和新出现的远程控制程序。

技术实现思路

[0006]本专利技术实施例提供一种远程控制程序的检测方法和装置，解决了现有技术无法检测出改变了行为特征的现有远程控制程序和新出现的远程控制程序的问题。
[0007]为达上述目的，第一方面，本专利技术实施例提供一种远程控制程序的检测方法，包括：
[0008]监测待检测程序，获取所述待检测程序的文本格式的行为数据；
[0009]根据所述行为数据中的词语内容和频率将所述行为数据转换为行为向量；
[0010]将所述行为向量输入训练后的RNN模型对所述待检测程序进行分类识别，得到所述待检测程序的程序类别；
[0011]所述程序类别包括：远程和正常，程序类别为远程表征所述待检测程序为远程控制程序，程序类别为正常表征所述待检测程序为正常程序。
[0012]第二方面,本专利技术实施例提供一种远程控制程序的检测装置，包括：
[0013]待检测行为数据获取单元，用于监测待检测程序，获取所述待检测程序的文本格式的行为数据；
[0014]行为向量获取单元，用于根据所述行为数据中的词语内容和频率将所述行为数据转换为行为向量；
[0015]分类单元，用于将所述行为向量输入训练后的RNN模型对所述待检测程序进行分类识别，得到所述待检测程序的程序类别；
[0016]所述程序类别包括：远程和正常，程序类别为远程表征所述待检测程序为远程控制程序，程序类别为正常表征所述待检测程序为正常程序。
[0017]上述技术方案具有如下有益效果：基于RNN模型进行检测，能够对没有已知特征的远程控制程序进行识别，避免攻击者通过修改已知特征进行绕过的弊端；摆脱传统安全软件依赖正则匹配的弊端，更具有扩展性。本专利技术技术方案可以持续通过训练数据对RNN模型的预测参数进行优化，不需要人为调整规则，能够减少因人引入的错误。
附图说明
[0018]为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0019]图1是本专利技术实施例之一的一种远程控制程序的检测方法的流程图；
[0020]图2是本专利技术实施例之一的一种远程控制程序的检测装置的架构示意图；
[0021]图3是本专利技术实施例之一的一种远程控制程序的检测方法的流程图；
[0022]图4是本专利技术实施例之一的一种远程控制程序的检测方法的RNN模型训练处理过程示意图。
具体实施方式
[0023]下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。
[0024]一方面，如图1所示，本专利技术实施例提供一种远程控制程序的检测方法，包括：
[0025]步骤S11，监测待检测程序，获取所述待检测程序的文本格式的行为数据；
[0026]步骤S12，根据所述行为数据中的词语内容和频率将所述行为数据转换为行为向量；
[0027]步骤S13，将所述行为向量输入训练后的RNN模型对所述待检测程序进行分类识别，得到所述待检测程序的程序类别；
[0028]所述程序类别包括：远程和正常，程序类别为远程表征所述待检测程序为远程控制程序，程序类别为正常表征所述待检测程序为正常程序。
[0029]在一些实施例中，正常程序可以是不涉及远程控制或者被远程控制的程序；待检
测程序的文本格式的行为数据包括但不限于待检测程序执行时的命令行文本、待检测程序的经过文本化的输出数据、待检测程序与系统或其他程序之间的通信数据等等。可以通过包括但不限于word2vec等文本转向量的工具根据行为数据中的词语内容和频率将行为数据转换为行为向量。行为向量输入给训练后的RNN模型对所述待检测程序进行分类识别得到所述待检测程序的程序分类类别，具体地，RNN模型会针对待检测程序输出属于各程序分类的概率，根据属于各程序分类的概率与预设的概率阈值进行比较，确定待检测程序的程序分类。例如预设的概率阈值为60％，如果RNN模型分析后的程序分类中的远程控制程序对应的概率为70％，正常程序对应的概率为30％，则认为待检测程序为远程控制程序。
[0030]本专利技术实施例具有如下技术效果：基于RNN模型进行检测，能够对没有已知特征的远程控制程序进行识别，避免攻击者通过修改已知特征进行绕过的弊端；摆脱传统安全软件依赖正则匹配的弊端，更具有扩展性。
[0031]进一步地，所述监测待检测程序，获取所述待检测程序的文本格式的行为数据，包括：
[0032]对所述待检测程序执行如下至少之一：反编译、数据包抓取、监控程序行为，获得所述待检测程序的文本格式的行为数据；
[0033]其中，所述程序行为包括如下至少之一：发起网络请求、对系统文件的读取、将服务注册到系统自启项中、释放文件、创建进程、注入系统进程。
[0034]在一些实施例中，通过本本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种远程控制程序的检测方法，其特征在于，包括：监测待检测程序，获取所述待检测程序的文本格式的行为数据；根据所述行为数据中的词语内容和频率将所述行为数据转换为行为向量；将所述行为向量输入训练后的RNN模型对所述待检测程序进行分类识别，得到所述待检测程序的程序类别；所述程序类别包括：远程和正常，程序类别为远程表征所述待检测程序为远程控制程序，程序类别为正常表征所述待检测程序为正常程序。2.如权利要求1所述的远程控制程序的检测方法，其特征在于，所述监测待检测程序，获取所述待检测程序的文本格式的行为数据，包括：对所述待检测程序执行如下至少之一：反编译、数据包抓取、监控程序行为，获得所述待检测程序的文本格式的行为数据；其中，所述程序行为包括如下至少之一：发起网络请求、对系统文件的读取、将服务注册到系统自启项中、释放文件、创建进程、注入系统进程。3.如权利要求1所述的远程控制程序的检测方法，其特征在于，所述方法还包括：按预设时间间隔，周期性地收集多个远程控制程序和多个正常程序对应的文本格式的行为数据，构成原始行为数据集；将所述原始行为数据集处理为原始行为向量数据集；使用所述原始行为向量数据集对未经训练的RNN模型进行迭代训练，得到所述训练后的RNN模型。4.如权利要求3所述的远程控制程序的检测方法，其特征在于，所述收集多个远程控制程序和多个正常程序对应的文本格式的行为数据，构成原始行为数据集，包括：对多个远程控制程序和多个正常程序进行反编译、数据包抓取、和/或监控程序行为，得到多个远程控制程序和多个正常程序对应的文本格式的行为数据，将多个文本格式的行为数据构成所述原始行为数据集；其中，所述程序行为包括如下至少之一：发起网络请求、对系统文件的读取、将服务注册到系统自启项中、释放文件、创建进程、注入系统进程。5.如权利要求3所述的远程控制程序的检测方法，其特征在于，所述收集多个远程控制程序和多个正常程序对应的文本格式的行为数据，构成原始行为数据集，包括：获取多个远程控制程序和多个正常程序的开源的文本格式的行为数据，将得到的多个文本格式的行为数据构成所述原始行为数据集。6.如权利要求3所述的远程控制程序的检测方法，其特征在于，所述将所述原始行为数据集处理为原始行为向量数据集，包括：在所述原始行为数据集中，将所述多个远程控制程序对应的文本格式的行为数据的程序类别标签标记为远程，将所述多个正常程序对应的文本格式的行为数据的程序类别标签标记为正常；将所述原始行为数据集中的所述多个远程控制程序和所述多个正常程序对应的文本格式的行为数据向量化，得到对应的原始行为向量数据集；其中，所述原始行为向量数据集中包括样本程序的原始行为向量以及对应的程序类别标签，所述样本程序包括远程控制程序和正常程序；
所述使用原始行为向量数据集对未经训练的RNN模型...

【专利技术属性】
技术研发人员：张天顺，邱春武，康宇，
申请(专利权)人：新浪技术中国有限公司，
类型：发明
国别省市：