一种基于主动学习的恶意代码检测方法

• 作者: 毛蔚轩 童力 蔡忠闽
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: 访问行为 恶意代码检测 主动学习 数据流依赖网络
• 年，卷（期）: 2017,（2）
• 所属期刊栏目: 计算机网络与信息安全
• 页码范围: 384-397
• 页数: 14页
• 分类号: TP309
• 字数: 12798字
• 语种: 中文
• DOI: 10.13328/j.cnki.j0s.005061

摘要

现有恶意代码的检测往往依赖于对足够数量样本的分析.然而新型恶意代码大量涌现,其出现之初,样本数量有限,现有方法无法迅速检测出新型恶意代码及其变种.在数据流依赖网络中分析进程访问行为异常度与相似度,引入了恶意代码检测估计风险,并提出一种通过最小化估计风险实现主动学习的恶意代码检测方法.该方法只需要很少比例的训练样本即可实现准确的恶意代码检测,比现有方法更适用于新型恶意代码检测.通过对真实的8 340个正常进程和7 257个恶意代码进程的实验分析,与传统基于统计分类器的检测方法相比,该方法明显地提升了恶意代码检测效果.即便在训练样本仅为总体样本数量1％的情况下,该方法也可以达到5.55％的错误率水平,比传统方法降低了36.5％.