3、恶意软件检测与分类技术研究

恶意软件检测与分类技术研究

1. 恶意软件行为分析

恶意可执行文件的分类可以基于多种因素，如执行时间、网络活动、注册表访问频率、访问文件数量等。不过，最有前景的方法是基于对其行为的分析来进行分类。这种分类方式有助于识别与恶意软件功能和意图相关的类别。

为了区分这些类别，聚类算法需要输入能准确描述可执行文件行为的数据。建议通过对WinAPI函数调用进行排序来获取这些信息。具体操作如下：
1. 将可执行文件在虚拟环境中运行。
2. 保存每个文件的API调用日志。
3. 提取静态和动态特征后，将这些特征进行组合。
4. 机器学习分类器使用整合后的特征集作为输入，来判断文件是恶意还是良性。

PE结构的头部和部分包含了PE文件在Windows上运行所需的数据。通过PE头部的IAT，可以识别加载的DLL和正在使用的函数。因此，无需执行恶意代码，就可以从PE组件中获取恶意信息。如果文件具有PE结构，其头部和部分可以提取出总共55个特征，包括熵和加壳信息。通过YARA规则设置，可以在二进制文件中找到文件的加壳信息。YARA规则包含根据恶意程序的签名对其进行分类和识别的工具。如果通过比较发现代码模式是恶意的，就可以使用传统技术对代码的恶意性进行分类。

此外，为了防止客户端和云主机上的恶意程序执行，已经提出并实施了各种技术。以下是一些主要技术及其局限性：
| 技术提出者 | 技术名称 | 技术原理 | 局限性 |
| — | — | — | — |
| Forest等 | 进程级异常检测方法 | 利用活跃特权进程产生的简短系统调用序列区分典型和异常特征 | 无明确提及 |
| Lee等 | 基于机器学