基于特征融合的恶意代码多任务分类技术和恶意代码威胁性评估方法研究

发布时间：2020-09-02 09:39

　　随着互联网的发展与普及,网络安全变得愈发重要,恶意代码作为网络安全的重大威胁之一,相关的分析与检测是网络安全领域的一个重要的研究方向。一方面,恶意代码使用混淆、变形等技术不断生成新的恶意代码变种,对恶意代码进行有效的检测与分类可以提高计算机的安全性;另一方面,对恶意代码的威胁性进行有效评估,可以为相应的防治工作提供重要保证。动态分析技术可以很好地检测采用了加密、加壳、多态和变形等技术的恶意代码,静态分析能够遍历恶意软件样本中的所有可能的执行路径。本文使用动态与静态分析结合的方法,提取样本的各类特征,探究多个特征之间的的融合问题,并研究在一个分类器中既能处理恶意代码检测问题,也能处理恶意代码家族分类问题的方法。此外,针对当前恶意代码威胁性评估的局限与不足,提出了一种基于信息融合的恶意代码威胁性评估方法。论文的主要工作包括:1)设计并实现了一种基于深度神经网络的多任务恶意代码分类系统。使用神经网络技术进行恶意代码的检测与分类是当前的主要趋势。检测与分类共同的分析步骤有提取特征、特征选择、通过神经网络训练构建分类器,区别在于分类器的输出,检测的输出是两个,即正常程序或恶意程序,分类的输出为恶意代码所属的家族,两类问题可以共享特征的提取与选择,分类器的训练过程,通过设置输出层,可以使神经网络既能处理检测问题,也能处理家族分类问题。2)提出了一种基于逐步回归分析思想的特征融合方法。当前使用多个特征进行恶意代码检测或者家族分类的模型,没有对特征的融合度进行分析,容易导致多个特征检测准确率提高不多但计算量复杂,时空消耗高的问题。本文基于逐步回归分析的思想探究特征之间的融合度,选择出最佳的特征集。3)提出并实现了一种恶意代码威胁性评估方法。常见的恶意代码评估方法在评估的指标方面不够全面,评估的内容不够丰富,并且恶意代码自身的技术在不断的发展进步,传统的评估方法存在一定的局限性。本文对恶意代码的种类、作者常用技术和发展趋势进行了分析总结,提出一种针对恶意代码破坏能力、扩散能力、隐蔽能力、抗检测能力、自我保护能力、自启动能力、资源消耗能力等七个指标的评估体系,提取恶意代码的各类特征信息,使用信息融合方法确定各类指标的威胁值,实现了对恶意代码威胁性的有效评估。本文分别对多任务分类模型和威胁性评估方法进行测试,测试结果验证了模型与方法的准确性和有效性。
【学位单位】：战略支援部队信息工程大学
【学位级别】：硕士
【学位年份】：2018
【中图分类】：TP393.08
【部分图文】：

第一季度,木马病毒,间谍软件,后门程序

第一章绪论第一章绪论的背景与意义究背景代码，也称之为恶意软件，指任何以某种方式对计算机用户或网络等83 年，Cohen[1]首次提出“计算机病毒（computer virus）”这一术语，型的增加，对病毒的检测逐渐发展成恶意代码检测（malware detection可分为病毒、木马、蠕虫、后门程序、下载器、间谍软件、逻辑炸弹亚信安全发布的《亚信安全 2017 年第一季度网络安全威胁报告》[3]，毒检测情况同比 2016 年大幅增加，如图 1.1 所示，3 月份病毒数量更中新增数量最大的病毒类型是木马病毒，新增的木马病毒特征达到了

流程图,分类技术,流程图

Krzysztof Cabaj[34]在对病毒 CryptoWall 的分析经验的基础上图像的可视化分析方法,开发了一种恶意软件评估基础架构。工作与创新动静态分析结合的技术对恶意代码进行深入研究，将恶意代测问题统一起来，构建一个既能处理分类良性与恶意样本的的分类模型，同时，分析恶意代码行为，以及这些行为对用代码的关键性能，构建一套恶意代码威胁性评估系统，本文以下方面：理恶意代码多分问题与二分问题的统一，构建了一个多任软件分类问题，根据分类结果和要求，可以分为两类：（1）分类问题，并决定样本是良性的还是恶意的; （2）恶意软件，并预测恶意样本的家庭标签。基于数据挖掘等知识的恶意。

结构图,章节,结构图

坏将直接影响分类模型的准确性。本文使用动静结合的方法提选择的特征有较好的互补性，实现了一种简单、有效的分类模逐步回归思想的特征选择方法多个特征进行分类的模型，往往只是简单地将这些特征组成征之间的融合度问题，即使用多个特征是否会导致准确率比使相应过高。本文基于逐步回归思想探究多个特征之间的融合度选择方法。于信息融合的恶意代码威胁性评估方法前恶意代码威胁程度评估方法的局限性，研究基于信息融合的，提出了针对恶意代码资源消耗、破坏能力、抗检测能力、自能力、自我保护能力七个指标的评估体系，通过信息融合，对，为恶意代码的防治提供参考。安排六章，各章的安排如下图 3 所示：

【参考文献】