26、恶意软件聚类与服务动态监控技术解析

恶意软件聚类与服务动态监控技术解析

1. 恶意软件的K - 均值分区聚类

在处理恶意软件聚类问题时，我们可以采用一系列特定的步骤来实现高效且准确的聚类。

1.1 特征提取与筛选

首先，我们需要获取可能感染恶意软件的网站列表。对于每个网站，使用Capture - HPC工具进行至少一分钟的监测，因为有些网站加载可能需要时间。这些网站在不安全网络客户端上执行的所有活动列表构成了我们的初始特征列表。
接下来是特征筛选步骤。尽管Capture - HPC使用排除列表过滤预期的状态变化，但它记录的数据（如时间和进程ID）会生成代表相同恶意软件活动的特征组。我们会忽略日志文件中与活动无直接关联，而与管理相关的部分，如时间戳、进程ID、文件路径和TCP连接中的IP地址。这样的筛选确保每个特征在恶意软件改变的状态方面是唯一的，有效减少了特征数量。

步骤	操作
特征提取	使用Capture - HPC监测网站至少一分钟，获取活动列表作为初始特征
特征筛选	忽略日志文件中与管理相关部分，确保特征唯一性

1.2 数据矩阵创建与标准化

之后，我们要创建数据矩阵并进行标准化。在为数据矩阵创建条目时，我们读取特定网站的日志文件，并搜索列出的所有特征。如果在日志文件中找到某个特征，则将对应