3、单特征不平衡分类在实时恶意软件检测中的应用

单特征不平衡分类在实时恶意软件检测中的应用

1. 引言

恶意软件包括病毒、蠕虫、特洛伊木马、勒索软件、间谍软件、广告软件和rootkit等，其目的是窃取数据或破坏系统。由于恶意软件形式多样且影响广泛，对抗恶意软件对网络安全至关重要。

为了检测恶意软件，我们可以通过虚拟实例来审查恶意软件数据集，并在虚拟环境中安全地执行这些恶意软件以评估其影响。良性数据集则通过收集运行在虚拟Windows 10环境中的可执行程序获得，这些程序通常是无害的，可作为实验中的参考或比较对象。通过将潜在恶意软件的行为与良性数据集进行对比，可以更有效地识别和检测恶意软件程序。

在恶意软件和良性程序的分类中，常用的方法包括经典机器学习算法，如k近邻（kNN）、支持向量机（SVM）、决策树、朴素贝叶斯（NB）和随机梯度下降（SGD）。此外，还会使用基于Bagging技术的集成算法，如以决策树为基础估计器的标准Bagging（bagging - DT）、随机森林和Extra Trees；基于Boosting方法的集成算法，如AdaBoost、梯度提升机（GBM）、XGBoost、LightGBM和CatBoost；以及基于投票分类器和堆叠泛化的集成算法。考虑到恶意软件分类中良性和恶意类样本分布往往不平衡的问题，还会探索一些改进的集成算法，如带随机欠采样的Bagging（bagging - RU）、带类加权的随机森林（RF - W）和带随机欠采样的随机森林（RF - U）。

2. 相关研究回顾

• Choi引入了带相似性哈希和kNN的有利点树用于恶意软件检测，检测率提高了25%，检测速度加快了67%，搜索时间减少了20%。
• Yilmaz等人