25、基于K-Means的恶意软件分区聚类方法解析

基于K-Means的恶意软件分区聚类方法解析

1. 引言

恶意软件，这个即使在非IT专业人士中也广为人知的术语，指的是那些旨在执行不良操作的软件。这些操作包括未经授权访问计算设备（如PC、笔记本电脑、手机等）、窃取敏感数据，或者仅仅是破坏计算设备的正常运行。

每天都会发现大量的恶意软件，早在2010年，这个数字就已接近10000。而且，由于移动设备功能增多且包含大量私人数据，恶意软件的数量似乎没有减少的趋势。如此大量的恶意软件加上潜在的经济利益，催生了各种各样的攻击和部署策略，从而产生了如病毒、蠕虫、间谍软件、广告软件等不同类型的恶意软件。

恶意软件催生了一个专注于其开发、部署、检测和清除的全新行业。Capture - HPC是一种高交互蜜罐客户端，特别关注恶意软件的检测。它通过内核回调机制监控未受保护的网络客户端状态，过滤常见的状态变化，当检测到可能的恶意软件活动时，会更新包含详细状态变化信息的日志文件。为了提高其检测率，还赋予了它模拟ActiveX组件存在的能力。

将恶意软件组织成同质集群有助于快速应对新威胁，并更好地理解恶意软件的活动。然而，每天发布的大量恶意软件限制了实际可用的算法，指数时间复杂度的算法通常不可行。可以从不同角度对恶意软件进行聚类，如基于二进制文件或行为，这里选择了基于行为，而Capture - HPC被证明是收集恶意软件行为数据的优秀工具。

2. 背景和相关工作

• 学习方法选择 ：恶意软件的组织可以采用监督学习、半监督学习或无监督学习方法。监督学习通常需要大量标记样本，半监督学习所需标记样本较少，而无监督学习不需要标记样本，仅依靠数据本身和距