基于CNN的恶意软件分类方法

张豪

摘  要： 传统的基于机器学习的恶意软件分类方法需要从恶意软件文件中提取许多特征，这给分类带来了很高的复杂性。针对这一问题，提出了一种基于卷积神经网络（CNN）的恶意软件分类方法。现有的恶意软件样本由大量字节组成，该方法首先计算恶意样本大小并对样本中字节数进行统计。然后将恶意样本大小特征和字节统计特征融合并归一化。最后对基于CNN构建的模型训练并对测试样本进行分类。实验结果表明，对比基线实验中最优的XGBoost算法，该方法不仅训练耗时短而且准确率更高。

关键词： 恶意软件分类; 深度学习; 卷积神经网络

中图分类号：TP391          文献标识码：A     文章编号：1006-8228（2021）12-48-04

Abstract： Traditional malware classification methods based on machine learning need to extract many features from malware files. This brings high complexity to classification. To solve this problem， a malware classification method based on convolutional neural network （CNN） is proposed. The existing malware samples consist of a large number of bytes. This method first calculates the size of the malware samples and counts the number of bytes in the samples; Then fuses the malicious sample size feature and byte statistics feature and makes the normalization; Finally， the model based on CNN is trained to classify the test samples. The experimental results show that compared with the optimal XGBoost algorithm in the base line experiment， this method not only takes less time to train， but also has higher accuracy.

Key words： malware classification; deep learning; convolutional neural network

0 引言

恶意软件是指，其目的是对计算机造成损害的软件，恶意软件会窃取信息、窃取处理器功率和导致系统故障[1]。目前有几种恶意软件检测技术。基于签名的检测是基于在一组已知的恶意签名字节码上匹配字节码[2]。签名方法速度很快，但纯粹是反动的，无法识别新的恶意软件。行为分析在受控环境中执行程序，并观察恶意行为，这是缓慢且有风险的[3]。启发式分析使用文件的特征来确定它是否是恶意软件[4]。启发式分析受到其分类模型有效性的限制。深度学习可以用来创建分类模型，所以使用深度学习来扩展启发式分析，有可能大大提高启发式分析的性能。

深度学习在计算机视觉、自然语言处理等应用领域已经取得了巨大的成功。因此，深度学习技术被用来解决复杂的网络安全问题。……