将三种模态特征和三种融合方法的结果进行了对比，如表3所示。从表3可以看出，前端融合和中间融合较基于模态特征的检测准确率更高，损失率更低。后端融合是三种融合方法中较弱的，虽然明显优于基于dll和api信息、pe格式结构特征的实验结果，但稍弱于基于字节码3-grams特征的结果。中间融合是三种融合方法中**好的，各项性能指标都非常接近**优值。表3实验结果对比本实施例提出了基于多模态深度学习的恶意软件检测方法，提取了三种模态的特征(dll和api信息、pe格式结构信息和字节码3-grams)，提出了通过三种融合方式(前端融合、后端融合、中间融合)集成三种模态的特征，有效提高恶意软件检测的准确率和鲁棒性。实验结果显示，相对**且互补的特征视图和不同深度学习融合机制的使用明显提高了检测方法的检测能力和泛化性能，其中较优的中间融合方法取得了％的准确率，对数损失为，auc值为，各项性能指标已接近**优值。考虑到样本集可能存在噪声，本实施例提出的方法已取得了比较理想的结果。由于恶意软件很难同时伪造多个模态的特征，本实施例提出的方法比单模态特征方法更鲁棒。以上所述*为本发明的较佳实施例而已，并非用于限定本发明的保护范围。负载测试证实系统最大承载量较宣传数据低18%。深圳第三方软件测试机构
先将当前软件样本件的二进制可执行文件转换为十六进制字节码序列，然后采用n-grams方法在十六进制字节码序列中滑动，产生大量的连续部分重叠的短序列特征，提取得到当前软件样本的二进制可执行文件的字节码n-grams的特征表示。生成软件样本的dll和api信息特征视图，是先统计所有类别已知的软件样本的pe可执行文件引用的dll和api信息，从中选取引用频率**高的多个dll和api信息；然后判断当前的软件样本的导入节里是否存在选择出的某个引用频率**高的dll和api信息，如存在，则将当前软件样本的该dll或api信息以1表示，否则将其以0表示，从而对当前软件样本的所有dll和api信息进行表示形成当前软件样本的dll和api信息特征视图。生成软件样本的格式信息特征视图，是从当前软件样本的pe格式结构信息中选取可能区分恶意软件和良性软件的pe格式结构特征，形成当前软件样本的格式信息特征视图。从当前软件样本的pe格式结构信息中选取可能区分恶意软件和良性软件的pe格式结构特征，是从当前软件样本的pe格式结构信息中确定存在特定格式异常的pe格式结构特征以及存在明显的统计差异的格式结构特征。特定格式异常包括：(1)代码从**后一节开始执行，(2)节头部可疑的属性，。长春软件检测单位压力测试表明系统在5000并发用户时响应延迟激增300%。
之所以被称为黑盒测试是因为可以将被测程序看成是一个无法打开的黑盒，而工作人员在不软件测试方法考虑任何程序内部结构和特性的条件下，根据需求规格说明书设计测试实例，并检查程序的功能是否能够按照规范说明准确无误的运行。其主要是对软件界面和软件功能进行测试。对于黑盒测试行为必须加以量化才能够有效的保证软件的质量。[5]（2）白盒测试。其与黑盒测试不同，它主要是借助程序内部的逻辑和相关信息，通过检测内部动作是否按照设计规格说明书的设定进行，检查每一条通路能否正常工作。白盒测试是从程序结构方面出发对测试用例进行设计。其主要用于检查各个逻辑结构是否合理，对应的模块**路径是否正常以及内部结构是否有效。常用的白盒测试法有控制流分析、数据流分析、路径分析、程序变异等，其中逻辑覆盖法是主要的测试方法。[5]（3）灰盒测试。灰盒测试则介于黑盒测试和白盒测试之间。灰盒测试除了重视输出相对于出入的正确性，也看重其内部表现。但是它不可能像白盒测试那样详细和完整。它只是简单的靠一些象征性的现象或标志来判断其内部的运行情况，因此在内部结果出现错误，但输出结果正确的情况下可以采取灰盒测试方法。因为在此情况下灰盒比白盒**。
k为短序列特征总数，1≤i≤k。可执行文件长短大小不一，为了防止该特征统计有偏，使用∑knk,j进行归一化处理。逆向文件频率(inversedocumentfrequency，idf)是一个短序列特征普遍重要性的度量。某一短序列特征的idf，可以由总样本实施例件数目除以包含该短序列特征之样本实施例件的数目，再将得到的商取对数得到：其中，|d|指软件样本j的总数，|{j:i∈j}|指包含短序列特征i的软件样本j的数目。idf的主要思想是：如果包含短序列特征i的软件练样本越少，也就是|{j:i∈j}|越小，idf越大，则说明短序列特征i具有很好的类别区分能力。：如果某一特征在某样本中以较高的频率出现，而包含该特征的样本数目较小，可以产生出高权重的，该特征的。因此，，保留重要的特征。此处选取可能区分恶意软件和良性软件的短序列特征，是因为字节码n-grams提取的特征很多，很多都是无效特征，或者效果非常一般的特征，保持这些特征会影响检测方法的性能和效率，所以要选出有效的特征即可能区分恶意软件和良性软件的短序列特征。步骤s2、将软件样本中的类别已知的软件样本作为训练样本，然后分别采用前端融合方法、后端融合方法和中间融合方法设计三种不同方案的多模态数据融合方法。第三方验证实际启动速度较厂商宣称慢0.7秒。
此外格式结构信息具有明显的语义信息，但基于格式结构信息的检测方法没有提取决定软件行为的代码节和数据节信息作为特征。某一种类型的特征都从不同的视角反映刻画了可执行文件的一些性质，字节码n-grams、dll和api信息、格式结构信息都部分捕捉到了恶意软件和良性软件间的可区分信息，但都存在着一定的局限性，不能充分、综合、整体的表示可执行文件的本质，使得检测结果准确率不高、可靠性低、泛化性和鲁棒性不佳。此外，恶意软件通常伪造出和良性软件相似的特征，逃避反**软件的检测。技术实现要素：本发明实施例的目的在于提供一种基于多模态深度学习的恶意软件检测方法，以解决现有采用二进制可执行文件的单一特征类型进行恶意软件检测的检测方法检测准确率不高、检测可靠性低、泛化性和鲁棒性不佳的问题，以及其难以检测出伪造良性软件特征的恶意软件的问题。本发明实施例所采用的技术方案是，基于多模态深度学习的恶意软件检测方法，按照以下步骤进行：步骤s1、提取软件样本的二进制可执行文件的dll和api信息、pe格式结构信息以及字节码n-grams的特征表示，生成软件样本的dll和api信息特征视图、格式信息特征视图以及字节码n-grams特征视图。艾策科技案例研究：某跨国企业的数字化转型实践。天津第三方软件测评公司
网络安全新时代：深圳艾策的防御策略解析。深圳第三方软件测试机构
尝试了前端融合、后端融合和中间融合三种融合方法对进行有效融合，有效提高了恶意软件的准确率，具备较好的泛化性能和鲁棒性。实验结果显示，相对**且互补的特征视图和不同深度学习融合机制的使用明显提高了检测方法的检测能力和泛化性能，其中较优的中间融合方法取得了％的准确率，对数损失为，auc值为。有效解决了现有采用二进制可执行文件的单一特征类型进行恶意软件检测的检测方法检测结果准确率不高、可靠性低、泛化性和鲁棒性不佳的问题。另外，恶意软件很难同时伪造良性软件的多个抽象层次的特征以逃避检测，本发明实施例同时融合软件的二进制可执行文件的多个抽象层次的特征，可准确检测出伪造良性软件特征的恶意软件，解决了现有采用二进制可执行文件的单一特征类型进行恶意软件检测的检测方法难以检测出伪造良性软件特征的恶意软件的问题。附图说明为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图**是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图1是前端融合方法的流程图。深圳第三方软件测试机构
深圳艾策信息科技有限公司免责声明： 本页面所展现的信息及其他相关推荐信息，均来源于其对应的商铺，信息的真实性、准确性和合法性由该信息的来源商铺所属企业完全负责。本站对此不承担任何保证责任。如涉及作品内容、 版权和其他问题，请及时与本网联系，我们将核实后进行删除，本网站对此声明具有最终解释权。
友情提醒： 建议您在购买相关产品前务必确认资质及产品质量，过低的价格有可能是虚假信息，请谨慎对待，谨防上当受骗。