【白帽子学习记录16】数据挖掘在恶意软件检测中的应用

【白帽子学习记录16】数据挖掘在恶意软件检测中的应用

0x01 恶意软件检测技术

旨在对大量文件特征数据进行分析，从而判别被分析的文件是否为恶意软件

0x02 常用的恶意软件检测技术

1x01 特征码检测技术

依赖领域专家的行业经验和个人能力提取恶意软件的特征码，让特征码唯一的映射到对应的恶意软件。

• 恶意软件检测的主要技术
• 需要大量的人力
• 原则：在保证特征码唯一性的前提下，尽量使特征代码长度短一些以减少时空开销

1x02 校验和技术

在系统中建立新文件时，计算并保存正常文件的校验和。在使用文件时，计算文件当前的校验和，并将其宇先前的校验和进行比较，如果不一致，判断该为了将感染了恶意软件。

该技术不能识别恶意软件的种类和名称，而且对文件的内容的变化太敏感，文件的一些正常变化也会误报。

1x03 行为分析技术

采用行为特征序列来作为判别恶意软件的依据，根据领域专家多年的经验，找出一些恶意软件的共通性行为，建立行为序列特征库

1x04 虚拟机技术

采用程序代码模拟CPU寄存器和硬件端口，用调试程序调入可疑恶意程序样本，用虚拟环境测试病毒

• 可以让变种病毒特别是加密病毒自动解密露出原形，而不用研究各个恶意程序的解密算法和密钥
• 检测速度较慢，需要消耗较大的系统资源

0x03 恶意软件特征提取

1x01 Win API函数

文件的Win API函数能够反映一个代码段的行为，对文件具有较强的表征能力而且提取更为容易

1x02 文件字符串信息

字符串的特征表达方法，使得恶意软件不容易绕过反恶意软件的查杀

1x03 文件资源信息

Windows程序各种界面称为资源，包括加速键，位图，对话框，图标，菜单，串标等。文件资源用类型于磁盘目录结构的方式保存，文件资源信息可以有效地描述部分恶意软件的特征。

0x04 数据挖掘在恶意软件检测中的应用

1x01 基于分类方法的恶意软件检测

基于分类方法的恶意软件检测技术是根据输入数据集建立用于检测恶意软件的分类模型

2x01 常用算法

大多数都是使用传统的机器学习算法，当然神经网络应该可以达到更好的收敛效果。

• 决策树归纳算法
• 朴素贝叶斯算法
• K-近邻分类算法
• 集成分类器Boosted J4.8

1x02 基于聚类分析方法的恶意软件归类

聚类是将数据划分成有意义或有用的组的数据挖掘方法，它把数据按照相似性归纳成若干类别，同一类别中的数据彼此相似，而不同类中的数据相异

2x01 常用算法

• k-均值聚类
• 层次聚类