16、恶意软件检测技术：自动生成字符串签名与PE文件特征挖掘

恶意软件检测技术：自动生成字符串签名与PE文件特征挖掘

自动生成字符串签名检测恶意软件

在恶意软件检测领域，自动生成字符串签名是一种重要的技术手段。通过对多组件签名（MCS）的测试，我们可以更深入地了解其性能和特点。

多组件签名测试结果

我们对包含2到6个组件的MCS签名进行了测试，每个组件长度为16字节。在测试过程中，使用了3.0GB的良性软件集来选择组件候选，并使用34.9GB的独立良性软件集进行误报测试。以下是具体的测试结果：
| 组件数量 | 允许的组件误报数 | 误报率 | 覆盖率 | 签名数量 | 误报数量 |
| — | — | — | — | — | — |
| 2 | 1 | 28.9% | 76 | 7 |
| 2 | 0 | 23.3% | 52 | 2 |
| 3 | 1 | 26.9% | 62 | 1 |
| 3 | 0 | 24.2% | 44 | 0 |
| 4 | 1 | 26.2% | 54 | 0 |
| 4 | 0 | 18.1% | 43 | 0 |
| 5 | 1 | 26.2% | 54 | 0 |
| 5 | 0 | 17.9% | 43 | 0 |
| 6 | 1 | 25.9% | 51 | 0 |
| 6 | 0 | 17.6% | 41 | 0 |

从这些结果中我们可以观察到，允许MCS的单个组件在小良性软件集中出现误报，通常会带来更高的覆盖率。然而，从2组件和3组件签名来看，允许单个组件误报也会导致更多的整个MCS误报，即所有签名组件都出现在单个良性软件文件中。