24、特征约简加速恶意软件分类与安卓系统安全研究

特征约简加速恶意软件分类与安卓系统安全研究

特征约简部分

在恶意软件分类实验中，特征约简是重要的一环。我们通过信息增益（IG）来选择最重要的字符串，以此构建约简后的特征集。

在WEKA中，IG是一种单属性评估器，它基于信息增益评估属性。我们使用排名搜索方法进行属性选择，这样WEKA就能根据各个属性的IG评估对其进行排名。

在属性选择过程结束后，我们为每个家族（和mGroupi）获取一个包含每个字符串IG值的文件，并按IG值从高到低对这些文件进行排序。接下来，我们要确定用于构建约简特征集的“n”个最重要的IG值。

由于数据集中的家族规模不同，为避免对文件数量多和少的家族产生歧视，我们进行了一些初步测试来确定截断值。具体做法是先找出每个家族的平均字符串数量，并将其作为阈值。最后，根据阈值从IG结果中选择字符串。各家族最终选择的字符串数量如下表所示：
| 家族 | 家族中的文件数量 | 从IG结果中选择的字符串数量 |
| — | — | — |
| Agobot | 340 | 1067 |
| Alureon | 58 | 34 |
| Bambo | 70 | 45 |
| Beovens | 144 | 303 |
| Boxed | 366 | 534 |
| Clagger | 47 | 14 |
| Emerleox | 78 | 79 |
| Looked | 67 | 11 |
| Robknot | 119 | 140 |
| Robzips | 82 | 101 |
| Clean | 465 | 107 |