[发明专利]基于数据挖掘的多轨迹恶意程序特征检测方法

摘要

本发明涉及一种基于数据挖掘的多轨迹恶意程序特征检测方法，该多轨迹恶意程序特征检测方法含有行为轨迹获取步骤、分片步骤、特征提取与特征库构建步骤、度量检测步骤；行为轨迹获取步骤获取程序动态运行的系统调用序列；分片步骤对获取到的软件行为轨迹进行分片，以适应挖掘过程的需要；特征提取与特征库构建步骤采用数据挖据中改进的序列模式挖掘算法获取文件流、网络流和资源流行为频繁子序列集，并剔除正常程序行为轨迹片段，构造恶意行为特征库；度量检测步骤依据构建的三维特征库对实时运行的程序进行度量检测；本发明提供了一种检测准确率高的基于数据挖掘的多轨迹恶意程序特征检测方法。

主权项

一种基于数据挖掘的多轨迹恶意程序特征检测方法，其特征是：含有行为轨迹获取步骤、分片步骤、特征提取与特征库构建步骤、度量检测步骤；行为轨迹获取步骤获取程序动态运行的系统调用序列；分片步骤对获取到的程序行为轨迹进行分片，以适应挖掘过程的需要；特征提取与特征库构建步骤采用数据挖据中改进的序列模式挖掘算法获取文件流、网络流和资源流行为频繁子序列集，并剔除正常程序行为轨迹片段，构造恶意行为特征库；改进的序列模式挖掘算法通过在搜索满足最小支持度的序列时用AC自动机进行优化，并在构造投影数据库过程中舍弃不满足最小长度的频繁序列，从而优化挖掘过程中的时空开销；度量检测步骤依据构建的三维特征库对实时运行的程序进行度量检测。