本發明屬于惡意代碼檢測和人工智能領域，特別涉及一種面向匯編代碼的惡意軟件智能分類檢測方法和系統。
背景技術：
1、隨著惡意代碼數量和復雜度的不斷增加，傳統的人工分析方式已經難以滿足需求。因此，開發自動化的惡意代碼檢測技術是一種必然趨勢，以提高惡意代碼檢測的準確性和效率，減輕人工分析的負擔，以更好地保障網絡安全。
2、在自動化的惡意代碼檢測技術中，現有的檢測方法包括簽名掃描、靜態分析、動態分析、機器學習等手段。簽名掃描是一種基于已知惡意代碼的特征來進行檢測的方法。靜態分析是在不執行惡意代碼的情況下，僅通過對代碼本身進行分析來檢測惡意行為。它可以檢測出一些常見的惡意代碼模式，例如特定的函數調用、字符串加密、代碼混淆等。動態分析是通過在受感染的環境中執行惡意代碼，監視其行為并收集相關數據來檢測惡意行為。盡管現在對于惡意代碼檢測手段很多，但是惡意代碼變種速度很快，對于新的惡意代碼，檢測模型需要重新進行訓練，針對特定的數據集或惡意代碼變體，需要定制化的檢測模型進行檢測。
技術實現思路
1、為了解決現有技術中存在的不足，本發明提供了一種面向匯編代碼的惡意軟件智能分類檢測方法和系統，以加強惡意代碼分析模型判斷的準確性和魯棒性。
2、為解決上述技術問題，本發明采用如下的技術方案。
3、本發明首先公開了一種面向匯編代碼的惡意軟件智能分類檢測方法，該方法包括以下步驟：
4、步驟1：從惡意代碼數據集獲取惡意代碼樣本并進行預處理，對所述惡意代碼樣本進行逆向分析得到匯編形式的惡意代碼，利用正則表達式從匯編形式的惡意代碼中提取api調用序列，按照文件名稱添加類型標簽并保存到csv文件中；
5、步驟2：使用doc2vec算法對從匯編形式的惡意代碼中提取出的api調用序列進行特征向量化；
6、步驟3：基于向量化表示的api調用序列構建gru注意力分類模型，使用驗證集對所述模型進行驗證，并對所述gru注意力分類模型進行編譯，所述gru注意力分類模型包含三個gru層、一個全連接層和一個注意力層；
7、步驟4：使用編譯后的gru注意力分類模型對訓練數據進行訓練，以實現惡意軟件行為的分類，并使用測試集來評估模型性能。
8、本發明進一步包括以下優選方案：
9、所述從惡意代碼數據集獲取惡意代碼樣本并進行預處理，對所述惡意代碼樣本進行逆向分析得到匯編形式的惡意代碼，利用正則表達式從匯編形式的惡意代碼中提取api調用序列，按照文件名稱添加類型標簽并保存到csv文件中，進一步包括：
10、在獲得惡意代碼樣本后，對于行為方式和代碼特征相同的數據集，根據相同標簽進行合并；
11、通過逆向分析將二進制形式的惡意代碼轉換成asm形式的匯編文件；
12、利用正則表達式從所述匯編文件的匯編代碼中提取api調用序列；
13、將提取出的api調用序列按照文件的哈希值和標簽保存到csv文件中；
14、將惡意代碼數據集劃分為訓練集和測試集，并將劃分后的數據集保存在本地。
15、所述正則表達式為：
16、pattern＝r"\s+call\s+ds:(？p＜api_name＞[_a-za-z0-9]+)"
17、其中，\s表示匹配一個或者多個空格字符，call匹配調用，ds:匹配字符ds，(？p<api_name>[_a-za-z0-9]+)是一個命名的捕獲組，此模式匹配語句前后的任何空格字符，從匯編語句中的捕獲api名稱；
18、通過將該正則表達式模式用于讀取數據集各個匯編文件中的匯編代碼的每一行，提取api調用序列。
19、所述使用doc2vec算法對從匯編形式的惡意代碼中提取出的api調用序列進行特征向量化，進一步包括：
20、讀取csv文件的api調用序列，將api調用序列進行分詞；初始化doc2vec模型，所述doc2vec模型參數包括詞向量的維度、上下文窗口大小、單詞在文檔中出現的最小次數、訓練輪數、并行訓練的進程數；使用doc2vec類創建模型對象，將每個api調用序列表示為向量；加載訓練數據；創建訓練語料庫，將訓練數據轉換為帶標簽的文檔序列；使用訓練數據構建doc2vec模型的詞匯表，包括單詞及其對應的詞向量；構建詞匯表并訓練模型，掃描訓練數據并構建模型的詞匯表，其中每個詞都被賦予唯一的整數索引；使用訓練數據對模型進行多輪迭代訓練；在訓練過程中，根據上下文關系更新詞向量和模型參數，構建表示api調用序列的doc2vec模型；使用訓練數據訓練doc2vec模型；將訓練好的doc2vec模型保存到本地文件中。
21、所述構建gru注意力分類模型，進一步包括：
22、初始化空的序列模型，逐個添加gru層，第一gru層指定輸入序列的形狀，序列中的時間步長數，維度為1；每個gru層添加一個dropout層，用于隨機丟棄20％的神經元，第一gru層和第二gru層對所有輸出序列，使用l1正則化器為損失函數添加懲罰項；
23、將gru層的輸出饋送到注意力層，該注意力層計算注意力權重，然后將其乘以gru輸出；將生成的張量沿著時間軸求和，從而生成表示整個時間序列的單個向量，添加具有softmax激活函數的密集輸出層來預測輸出類；
24、將輸入數據通過一個全連接層得到一個向量，對該向量進行處理，將最后一個維度去除，對該向量應用指數函數增加權重差異性，將每個元素除以所有元素的和，得到注意力權重，對注意力權重向量進行處理，添加新的維度；最終該函數返回具有注意力權重的張量，將其與輸入數據相乘。
25、所述對gru注意力分類模型進行編譯，進一步包括：
26、使用adam優化器和分類交叉熵作為損失函數對所述gru注意力分類模型進行編譯，同時計算準確率作為評估指標。
27、所述實現惡意軟件行為的分類，并使用測試集來評估模型性能，進一步包括：
28、返回訓練過程中每個epoch的損失函數、準確率、驗證集的損失函數和準確率，在測試集上進行預測得到預測結果，使用真實標簽和預測標簽計算加權f1值，每個訓練周期后計算在測試數據上的f1值，用f1值評估模型的分類結果。
29、本發明同時公開了一種利用前述面向匯編代碼的惡意軟件智能分類檢測方法的面向匯編代碼的惡意軟件智能分類檢測系統，包括：
30、匯編代碼生成模塊，用于從惡意代碼數據集獲取惡意代碼樣本并進行預處理，對所述惡意代碼樣本進行逆向分析得到匯編形式的惡意代碼，利用正則表達式從匯編形式的惡意代碼中提取api調用序列，按照文件名稱添加類型標簽并保存到csv文件中；
31、特征向量化模塊，用于使用doc2vec算法對從匯編形式的惡意代碼中提取出的api調用序列進行特征向量化；
32、分類模型構建模塊，用于基于向量化表示的api調用序列構建gru注意力分類模型，使用驗證集對所述模型進行驗證，并對所述gru注意力分類模型進行編譯，所述gru注意力分類模型包含三個gru層、一個全連接層和一個注意力層；
33、惡意軟件分類檢測模塊，用于使用編譯后的gru注意力分類模型對訓練數據進行訓練，以實現惡意軟件行為的分類，并使用測試集來評估模型性能。
34、相應地，本技術還公開了一種終端，包括處理器及存儲介質；
35、所述存儲介質用于存儲指令；
36、所述處理器用于根據所述指令進行操作以執行根據前述面向匯編代碼的惡意軟件智能分類檢測方法的步驟。
37、相應地，本技術還公開了一種計算機可讀存儲介質，其上存儲有計算機程序，該程序被處理器執行時實現前述面向匯編代碼的惡意軟件智能分類檢測方法的步驟。
38、本發明的有益效果在于，與現有技術相比，本發明提供了一種面向匯編代碼的惡意軟件智能分類檢測方法和系統，針對惡意代碼的行為進行分類，可用于惡意代碼行為分析；從底層的匯編代碼分析惡意代碼行為特征，采用靜態分析的方式分析惡意代碼，通過對惡意代碼進行反匯編，得到其底層機器指令的匯編代碼，從而深入解析惡意代碼的實現原理和功能。從匯編代碼中用正則表達式提取api調用序列；將匯編代碼中提取api調用序傳入doc2vec模型向量化，作為下一步分類模型的輸入；構建包含三層gru層、一個全連接層以及一個注意力層的模型，doc2vec將api調用序列向量化，作為分類模型的輸入，提升了惡意代碼的行為分類的準確性和效率。