一种基于内核对象行为本体的恶意代码检测方法及系统

摘要

本发明提供一种基于内核对象行为本体的恶意代码检测方法及系统，属于计算机技术领域。本发明的方法包含以下步骤：恶意家族公共行为本体构建步骤；可疑样本个体行为本体构建步骤；将可疑样本的个体行为本体导入恶意家族公共行为本体后，组成恶意代码领域本体；对个体行为本体进行推理，判断是否为恶意代码。本发明的有益效果为：方法简单可靠，通过构建本体能够直接对可疑样本进行检测和分类，可以从内核对象行为图中直接看出两个对象之间的关系以及对这两个对象的操作情况，对恶意代码的检测和分类效果更好。

主权项

一种基于内核对象行为本体的恶意代码检测方法，其特征在于包含以下步骤：S1：恶意家族公共行为本体构建步骤；S2：可疑样本个体行为本体构建步骤；S3：将可疑样本的个体行为本体导入恶意家族公共行为本体后，组成恶意代码领域本体；S4：对个体行为本体进行推理，判断是否为恶意代码，其中，所述恶意家族公共行为本体构建步骤S1包括：A1：由若干个恶意代码样本构建一个恶意家族样本集；A2：对恶意代码家族样本集进行动态污点分析；A3：获取结果文件；A4：通过结果文件构建每一个恶意代码样本的内核对象行为图；A5：通过图聚类方式，对每一个恶意代码样本的内核对象行为图进行处理；A6：获取第一公共行为图和第二公共行为图；A7：根据第一公共行为图和第二公共行为图构建恶意家族公共行为本体，所述可疑样本个体行为本体构建步骤S2包括：B1：对可疑样本进行动态污点分析，获取结果文件；B2：通过结果文件构建可疑样本的内核对象行为图；B3：通过可疑样本的内核对象行为图构建可疑样本的个体行为本体。