基于有效窗口和朴素贝叶斯的恶意代码分类.pdf

《基于有效窗口和朴素贝叶斯的恶意代码分类.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、计算机研究与发展7544／issn1OOO一1239．2014．2O120615JournalofComputerResearchandDevelopment51(2)：373—381，2014基于有效窗口和朴素贝叶斯的恶意代码分类朱克楠尹宝林冒亚明。胡英男。(中国石油信息技术服务中心北京100007)(北京航空航天大学计算机学院北京100191)。(中国石油安全环保技术研究院HSE信息中心北京102206)(zhukenan@gmail．corn)MalwareClassificationApproachBas

2、edonValidWindowandNaiveBayesZhuKenan，YinBaolin，MaoYaming。，andHuYingnan。(CNPCInformationTechnologyServiceCenter，Beijing100007)(Schooloa"ComputerScience，BeihangUniversity，Beijing100191)。(HSEInformationCenter，CNPCResearchInstituteofSafetyandEnvironmentTechnology

3、，Beijing102206)AbstractMalwareclassificationisthekeyprobleminthefieldofmaliciouscodeanalysisandintrusiondetection．Existingmalwareclassificationapproacheshavelowefficiencyandpooraccuracybecausetherawbehavioranalysisdataislarge—scalewithhighnoisedataandinterfer

4、edbyrandomfactors．Tosolvetheaboveissues，takingthemalwarebehaviorreportsasrawdata，thispaperanalyzesthemalwarebehaviorcharacteristics，theoperationsimilarity，theinterferencesituationofrandomfactorsandnoisybehaviordata．Thenitproposesaparametervalidwindowmodelfors

5、ystemcallwhichimprovestheabilityofoperationsequencetodescribebehaviorsimilarity．Onthisbasis，thepaperpresentsamalwareclassificationapproachbasedonnaiveBayesmachinelearningmodelandparametervalidwindow．Moreover，anautomaticmalwarebehaviorclassifierprototypecalled

6、MalwareFilterisdesignedandimplementedinthispaper．Incasestudy，weevaluatetheprototypeusingsystemcallsequencereportsgeneratedthroughtruemalware．Theexperimentresultsshowthatourapproachiseffective，andtheperformanceandaccuracyoftrainingandclassificationareimprovedt

7、hroughparametervalidwindow．Keywordsmalware；behaviorclassification；naiveBayes；machinelearning；intrusiondetection；behaviorcharacteristic；operationsimilarity摘要恶意代码分类是恶意代码分析和入侵检测领域中的核心问题．现有分类方法分析效率低，准确性差，主要原因在于行为分析原始资料规模大，噪声高，随机因素干扰．针对上述问题，以恶意代码行为序列报告作为基础，在分析随机因素

8、及行为噪声对恶意代码行为特征和操作相似性的干扰之后，给出一个系统调用参数有效窗口模型，通过该模型加强行为序列的相似度描述能力，降低随机因素的干扰．在此基础上提出一种基于朴素贝叶斯机器学习模型和操作相似度窗口的恶意代码自动分类方法．设计并实现了一个自动恶意代码行为分类器原型MalwareFilter．使用真实恶意代码生成的行为序列报告对原型系统进行评估，通过实验证明了该方法