18、利用机器学习检测恶意软件的演变

利用机器学习检测恶意软件的演变

1. 引言

恶意软件的演变是网络安全领域面临的一个严峻挑战。传统的恶意软件检测方法，如基于静态签名的检测，在面对不断演变的恶意软件时往往显得力不从心。随着恶意软件编写者采用越来越复杂的技术来逃避检测，检测恶意软件的演变变得至关重要。本文提出了一种基于机器学习的方法，旨在自动检测恶意软件家族中的重大演变点，为反病毒研究人员提供更有针对性的检测方向。

2. 背景知识

2.1 恶意软件类型

• 计算机蠕虫 ：能够在网络中自我传播，例如Code Red、Blaster、Stuxnet、Santy和Morris Worm。
• 病毒 ：最常见的恶意软件形式，通常需要外部协助才能在系统间传播，常嵌入良性代码中，一些高级病毒会使用加密、多态性或变形技术来逃避检测。
• 特洛伊木马 ：伪装成无害软件，但携带恶意负载，如今在Android恶意软件中极为常见。
• 陷阱门或后门 ：允许攻击者未经授权访问受感染系统，可用于发起拒绝服务（DoS）攻击等。

传统的恶意软件检测依赖于静态签名，但这些签名容易被各种混淆和变形技术绕过，而且面对海量的恶意软件样本，签名扫描变得不可行。近年来，机器学习和深度学习技术成为恶意软件检测、分类和分析的首选工具。同时，检测恶意软件的演变也变得至关重要，因为我们需要知道恶意软件家族何时发生了重大演变，以便及时更新检测技术。

2.2 相关研究