基于改进的朴素贝叶斯恶意代码检测技术研究
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
全 事 件 中 ，由恶 意 代码 危 害带 来 的损 失程 （ ｈ ＝ ） ！ Ｃｌ ｘ ： Ｘ ２ ｉ ２ ３ ， 中的分母 Ｐ Ｘ ｘ 和类 （ ）式 （：） 上（Ｘ＝ｘＪ ， 度最为严重 ，恶意代码的整治是保障网络安全 的关键和 难点。 近年来 ， 据 挖 掘 技 术开 始 应 用 于 恶意 代 码 检 测领 别 ｃ 无关 ， 在 式 （ ） 比较最 大值 时 可忽 略 ， 以 贝叶 数 故 １中 所 域 ，其 可 以 从 已存 在 的 大 量代 码 数 据 中 挖掘 出有 意 义 的 斯 分 类 仅 计 算 概 率 Ｐ Ｘ ｘ 和 Ｐ Ｃ ）其 中 Ｐ Ｃ ） 为 （ ＝ｌ ） Ｃ （ 。 （ 称 可通 过 样 本空 间 中 Ｃ 类 样 本 的 总数 Ｎ 占样 本 ｉ 模式 ，利用分类算法对已经正确分类的代码进行训练来 先 验概 率 ， 预测 未 知 的 代码 是 否 为 恶 意代 码 。其 中使 用 最 广 泛 的是 朴素贝叶斯算法 ，它以各个特征项之间相互独立这个假 设为前提。 文章在朴素贝叶斯算法条件概率的计算 中 ， 选 用 了多 变量 贝努 里 事 件模 型 的计 算 方 法 ，在 其 基础 上进 行 了改 进 ，实 验 表 明该 方 法 有 效 提 高 了恶 意 代 码 检测 的 空 间 的 样 本 总数 Ｎ的 比例 表 示 ， Ｐ Ｃ ） 盟 。 Ｐ Ｘ ｘ 即 （ ＝ 而 （ ＝ ｌ） Ｃ 的计 算 要 困难 得 多 ， 特别 是 对 于 特 征 数 ｎ较 大 ， 且 而 特征 变 量 之 间相 依 程 度 较 高 时 ， 计 算 将 是极 费时 的 。 其 而 朴素贝叶斯则是假定各特征变量 ｘ 是相对独立的 ， ｉ 其结
图 １ 贝 叶 斯 分 类 器
（ ＝ｌ ） １ ［ （ｉ （ ｘ（ Ｐ （Ｉ）（） ０ Ｘ ｘ １ ｘ ＸＣ） １ 。１ Ｘｃ ） ５ ，贝 ： Ｃ＝ ｉ Ｉ ＋ 一） 一 ｉｈ Ｐ ］ Ｐ
１ ｘ （ ｉ ） （－ ￣１ ＰＸｌ ） Ｐ Ｃ ｜， Ｃ ） Ｃ） 征值 ｘ ｛ｌ２ ＝ｘＸ ……ｘ ，ｉ ，……，∈（，）其 中 ＸＸ …… （ ｈ ￣ ） ［Ｐ Ｘｌｈ＋ １ ｘ（－ （ ｉ ｈ］ （ ｈ） ６ ， ，， ｘ Ｏ１ ｝ ＝ ｎ ０１ ， ｂ２ ， ＣＩ ｘ ： ！ Ｘ （ ） 在 ＰＬ ＝ｘＪ Ｘ ｘ为样本 Ｄ对 ｘ， 。 ， ｘ ……， 特征 项的特征值 。 特征 ｘ应 若 项 ｘ 在样 本 Ｄ 中 出现 ｘ １ ， 则 Ｘ取 ０ 则 样 本 Ｄ属 多 变 量 贝 努 里 事 件 模 型 中 Ｐ ＸＩ ） 般 采 用 文 档 频 次 估 ｉ ｉ 则 否 ＝ 。 （ 一 Ｃ
上 （Ｙ Ｊ ，
图 ２ 朴 素 贝 叶 斯 分 类 器
对 给定 的分类 变量 ｃ， ｘ 是 相 对 独立 的 ， 各 ｉ 因而 有 ： Ｐ
１ 朴素贝叶斯分类器 ． ２ Ｘ ｘ ＝ １ （ 。 Ｉ ）４ 。 Ｃ ｘ Ｃ 贝 叶斯 分 类 器 结 构 如 图 １ 示 ，该 网 中应包 含 一个 （ ＝ ｌ ） １ Ｐ Ｘ＝。ｈ（ ） 所 表示 分 类 的节 点 Ｃ Ｃ是 类 别 集 合 ｆ …Ｃ ｝ ， ｃ， ， ｃ… 中的 一个 朴 素 贝 叶 斯分 类 模 型 有 两种 ：多 项 模 型 和 多变 量 贝 元素 ； 另外一组节点 ｘ ｛ ＝ｘ， ， Ｘ ……ｘ ｝ 表示用于分类 的特 努 里事 件 模 型 。多项 模 型 除 考 虑 特征 词 是 否 在代 码 出现 外 ， 要 考 虑 特 征词 出现 的次 数 ； 多变 量 贝 努 里事 件 模 还 而 征 向量 。 型 只考 虑特 征 词 是 否 在代 码 中 出现 。 由于 多 项模 型 的计 算复杂性较高 ， 所以文章采用后一种计算方法。 若令每个 特征项 ｘ 对应的特征值 ｘ 在取值 １ ０时 ， ｉ ｉ 和 分别表示特 征 项 在 ｘ 代 码 Ｄ 中 出 现 和 没 有 出 现 时 的 权 重 ，则 ： ｉ Ｐ
构 如 图 ２示 。
。
检测率和精准率 ， 并且降低了恶意代码 的误报率 。
１ 朴 素 贝 叶斯分 类
１１ 贝叶 斯 定 理 ．
设 Ｙ是 类 标 号 未 知 的数 据样 本 ， Ｈ为 某 特 定 的样 本 类 ， （ Ｉ 为 给 定 观 测 数 据 样 本 Ｙ属 于类 Ｈ 的 概 率 。 Ｐ ＨＹ） 贝 叶斯 定 理如 下 ： （ Ｉ ＝ ！ ！ Ｐ ＨＹ） ！ ２
第３ Ｏ卷第 ６期
Ｖ０．０ Ｎｏ６ １３ ．
企 业 技 术 开 发
ＴＥＣＨＮＯＬＯＧＩ ＣＡＬ ＤＥＶＥＬ０Ｐ ＥＮＴ Ｍ ＯＦ ＥＮＴＥＲＰＲＩ Ｅ Ｓ
２ １ 年 ３月 ０１
Ｍａ ． ０１ ｒ２ ｌ
基 于 改进 的朴 素 贝叶斯 恶意代 码检 测 技 术 研 究
梁满满 ， 徐 慧
（ 国矿 业 大 学 （ 京 ） 电与 信 息工 程 学 院 ， 京 １０ ８ ） 中 北 机 北 ００ ３
摘 要 ： 章 介 绍 了传 统 的 朴 素 贝叶斯 恶意 代 码 检 测 算 法 ， 在 传 统朴 素 贝叶 斯 算 法 基 础 上提 出改 进 ， 文 并 引入 贡 献
系数 以增 大 特 征 项 对 合 法代 码 与 恶 意代 码 区分 的 能力 ，实 验 表 明该 方 法有 效 提 高 了恶 意 代 码 的 检 测 率 和 精 准 率， 并且 降低 了恶 意代 码 的误 报 率 。 关键词： 恶意 代 码 ； 素 贝叶 斯 ； 朴 互信 息 量 ； 类 器 分 中图 分 类 号 ： Ｐ ９ ． Ｔ ３ １１ 文 献标 识 码 ： Ａ 文 章 编 号 ：０６ ８ ３ ２ １） ６ ０ ０ — ２ １０ — ９ ７（０ １ ０ — １ ２ ０
图 １ 贝 叶 斯 分 类 器
（ ＝ｌ ） １ ［ （ｉ （ ｘ（ Ｐ （Ｉ）（） ０ Ｘ ｘ １ ｘ ＸＣ） １ 。１ Ｘｃ ） ５ ，贝 ： Ｃ＝ ｉ Ｉ ＋ 一） 一 ｉｈ Ｐ ］ Ｐ
１ ｘ （ ｉ ） （－ ￣１ ＰＸｌ ） Ｐ Ｃ ｜， Ｃ ） Ｃ） 征值 ｘ ｛ｌ２ ＝ｘＸ ……ｘ ，ｉ ，……，∈（，）其 中 ＸＸ …… （ ｈ ￣ ） ［Ｐ Ｘｌｈ＋ １ ｘ（－ （ ｉ ｈ］ （ ｈ） ６ ， ，， ｘ Ｏ１ ｝ ＝ ｎ ０１ ， ｂ２ ， ＣＩ ｘ ： ！ Ｘ （ ） 在 ＰＬ ＝ｘＪ Ｘ ｘ为样本 Ｄ对 ｘ， 。 ， ｘ ……， 特征 项的特征值 。 特征 ｘ应 若 项 ｘ 在样 本 Ｄ 中 出现 ｘ １ ， 则 Ｘ取 ０ 则 样 本 Ｄ属 多 变 量 贝 努 里 事 件 模 型 中 Ｐ ＸＩ ） 般 采 用 文 档 频 次 估 ｉ ｉ 则 否 ＝ 。 （ 一 Ｃ
上 （Ｙ Ｊ ，
图 ２ 朴 素 贝 叶 斯 分 类 器
对 给定 的分类 变量 ｃ， ｘ 是 相 对 独立 的 ， 各 ｉ 因而 有 ： Ｐ
１ 朴素贝叶斯分类器 ． ２ Ｘ ｘ ＝ １ （ 。 Ｉ ）４ 。 Ｃ ｘ Ｃ 贝 叶斯 分 类 器 结 构 如 图 １ 示 ，该 网 中应包 含 一个 （ ＝ ｌ ） １ Ｐ Ｘ＝。ｈ（ ） 所 表示 分 类 的节 点 Ｃ Ｃ是 类 别 集 合 ｆ …Ｃ ｝ ， ｃ， ， ｃ… 中的 一个 朴 素 贝 叶 斯分 类 模 型 有 两种 ：多 项 模 型 和 多变 量 贝 元素 ； 另外一组节点 ｘ ｛ ＝ｘ， ， Ｘ ……ｘ ｝ 表示用于分类 的特 努 里事 件 模 型 。多项 模 型 除 考 虑 特征 词 是 否 在代 码 出现 外 ， 要 考 虑 特 征词 出现 的次 数 ； 多变 量 贝 努 里事 件 模 还 而 征 向量 。 型 只考 虑特 征 词 是 否 在代 码 中 出现 。 由于 多 项模 型 的计 算复杂性较高 ， 所以文章采用后一种计算方法。 若令每个 特征项 ｘ 对应的特征值 ｘ 在取值 １ ０时 ， ｉ ｉ 和 分别表示特 征 项 在 ｘ 代 码 Ｄ 中 出 现 和 没 有 出 现 时 的 权 重 ，则 ： ｉ Ｐ
构 如 图 ２示 。
。
检测率和精准率 ， 并且降低了恶意代码 的误报率 。
１ 朴 素 贝 叶斯分 类
１１ 贝叶 斯 定 理 ．
设 Ｙ是 类 标 号 未 知 的数 据样 本 ， Ｈ为 某 特 定 的样 本 类 ， （ Ｉ 为 给 定 观 测 数 据 样 本 Ｙ属 于类 Ｈ 的 概 率 。 Ｐ ＨＹ） 贝 叶斯 定 理如 下 ： （ Ｉ ＝ ！ ！ Ｐ ＨＹ） ！ ２
第３ Ｏ卷第 ６期
Ｖ０．０ Ｎｏ６ １３ ．
企 业 技 术 开 发
ＴＥＣＨＮＯＬＯＧＩ ＣＡＬ ＤＥＶＥＬ０Ｐ ＥＮＴ Ｍ ＯＦ ＥＮＴＥＲＰＲＩ Ｅ Ｓ
２ １ 年 ３月 ０１
Ｍａ ． ０１ ｒ２ ｌ
基 于 改进 的朴 素 贝叶斯 恶意代 码检 测 技 术 研 究
梁满满 ， 徐 慧
（ 国矿 业 大 学 （ 京 ） 电与 信 息工 程 学 院 ， 京 １０ ８ ） 中 北 机 北 ００ ３
摘 要 ： 章 介 绍 了传 统 的 朴 素 贝叶斯 恶意 代 码 检 测 算 法 ， 在 传 统朴 素 贝叶 斯 算 法 基 础 上提 出改 进 ， 文 并 引入 贡 献
系数 以增 大 特 征 项 对 合 法代 码 与 恶 意代 码 区分 的 能力 ，实 验 表 明该 方 法有 效 提 高 了恶 意 代 码 的 检 测 率 和 精 准 率， 并且 降低 了恶 意代 码 的误 报 率 。 关键词： 恶意 代 码 ； 素 贝叶 斯 ； 朴 互信 息 量 ； 类 器 分 中图 分 类 号 ： Ｐ ９ ． Ｔ ３ １１ 文 献标 识 码 ： Ａ 文 章 编 号 ：０６ ８ ３ ２ １） ６ ０ ０ — ２ １０ — ９ ７（０ １ ０ — １ ２ ０