恶意代码的检测方法及其系统技术方案

本发明专利技术提出了一种OLAP引擎辅助的、以恶意代码主控端被控端交互行为为特征的、基于挖掘的恶意代码检测方法及其对应的原型系统。其中检测方法包括首先探测网络步骤101；然后提取可疑主控端行为201；接下来扩充训练集301-303；训练分类器401；刷新Cube501；序列挖掘601-606；生成规则701。检测系统包括侦测模块、训练样本池、SVM分类器、关系数据库、OLAP引擎、特征序列挖掘引擎和知识库。

【技术实现步骤摘要】

本专利技术涉及一种恶意代码的检测方法及其系统，更具体地讲，涉及一种基于挖掘的恶意代码检测方法以及恶意代码网络行为特征分析与检测系统。
技术介绍
随着互联网的普及，信息安全变得越来越重要，信息安全也成为一个备受关注的重要研究领域。由于hternet本身设计上的缺陷以及其具有的开放性，使其极易受到攻击。在hternet安全事件中，恶意代码造成的经济损失占有最大的比例，与此同时，恶意代码成为信息战、网络战的重要手段。更严重的是，恶意代码的种类、传播速度、感染数量和影响范围都在逐渐增强。在检测恶意代码方面，已经有软件能够检测包括蠕虫和木马在内的多种恶意代码，但这些软件采用的都是特征码检测技术，对未知代码进行特征提取，然后与已知的恶意代码特征进行比较，从而判定其是否为恶意代码。这样的方法误报率低，但是必须在检测一种恶意代码之前先获得其特征，增加了计算机系统被感染和受到攻击的可能性。新出现的恶意代码也变得越来越复杂，通过采用多态和变形等模糊变换技术，恶意代码的生存能力得到了增强，基于特征码检测技术的工具一般无法识别，这给安全领域的工作带来了极大挑战。
技术实现思路
因此，本专利技术的目的在于提出一本文档来自技高网...

【技术保护点】
１．一种恶意代码的检测方法，包括以下步骤：探测网络，监控所有的网络报文，获得第一手原始网络数据；提取可疑主控端行为，在知识库中特征规则的帮助下，检测可疑的恶意代码行为，根据知识库中记录的包括恶意代码主控端地址信息的信息，从网络报文中提取与这些主控端相关的行为特征数据；扩充训练集，在专家的帮助下，将代表可疑主控端行为特征的数据存储在数据库中，将可能是恶意代码新变种行为特征的数据导入训练样本池中；训练分类器，以已有样本为输入，提取其特征，建立特征词典，用来优化ＳＶＭ分类器参数；刷新Ｃｕｂｅ，针对训练集的更新，关系数据库中也更新相应的事实表，对新导入的行为序列进行分片，更新各个维度表和事实表；序列挖...

【技术特征摘要】

【专利技术属性】
技术研发人员：郑礼雄，孙波，许俊峰，严寒冰，王伟平，袁春阳，林绅文，杨鹏，向小佳，王永建，王进，张伟，郭承青，
申请(专利权)人：国家计算机网络与信息安全管理中心，中国科学院计算技术研究所，
类型：发明
国别省市：11