基于机器学习的内核恶意程序检测研究与实现

田东海， 魏行， 张博， 郁裕磊， 李家硕， 马锐

(1.北京理工大学 计算机学院，软件安全工程技术北京市重点实验室，北京 100081；2.山西省军民融合软件工程技术研究中心，山西，太原 030051)

在恶意代码技术高度发达的今天，传统的恶意代码检测技术显得有些捉襟见肘，急切需要新的检测技术. 大部分研究人员都考虑应用当前火热的机器学习，应用机器学习对恶意代码进行分类存在很多优点，首先它能挖掘出更多的同类恶意代码的共同特征，这些特征研究人员手工分析未必可以发现. 其次可以借助机器学习中已经发展成熟的计算机视觉领域和自然语言处理领域的一些技术来对恶意代码进行分类. 例如段晓云[1]就结合了数据挖掘技术和文本分类技术对于Windows 中API调用行为进行分析研究，从6个角度分析了Windows中API调用行为，将对于恶意代码行为的分析转化为对于文本的分析，在这个基础上结合机器学习提出了详细方案. 卢占军[2]在操作码方面研究了提取基于程序的控制流程图的操作码序列来作为特征，利用自然语言处理中的n-gram算法和信息增益以及文档频率筛选特征，蒋永康等[3]提出了一种新型的基于图像矢量的恶意代码分类模型，将恶意代码的汇编指令映射为图像矢量，借助计算机视觉的图像分类问题处理方法来分类恶意代码.

通过这些研究不难发现机器学习在恶意代码检测分类领域已经逐渐成为了中坚力量，而机器学习在其……