多类支持向量机的病毒行为检测方法.pdfVIP

第30卷第 1期 计算机应用 Vo1．30No．1 2010年 1月 JournalofComputerApplications Jan．2010 文章编号：1001—9081(2010)01—0181—05 多类支持向量机的病毒行为检测方法 韩兰胜，邹梦松 ，刘其文，刘 铭 (华 中科技大学 计算机科学与技术学院，武汉 430074) (hanlansheng@hotmail．COB) 摘 要：与正常程序相比，病毒具有一些特殊的、有限的行为。运用支持向量机的方法，构建出病毒的特征行为空 间，采用信息熵来放大病毒行为与正常程序的区别，通过学习分类寻找并建立将不同程序行为切分的超平面，再对不 同类型病毒的特征行为进行区分。通过对大量正常程序与病毒程序 中的API调用的统计和分析，发现了病毒的API 调用数量和分布的特征，将行为特征集中API调用序列设定为2100就可以将所实验的病毒检 出，这保证了检测集的 稳定性和检测的可行性。与已有的病毒检测方法进行比较 ，所提出的方法更加具有操作性。 关键词：计算机病毒；行为检测；信息熵；多类分类；信息增益 中图分类号：TP393．08 文献标志码 ：A Behavior--basedvirusdetectionmethodusingmulti--classsupportvectormachine HANLan—sheng，ZOUMeng—song，LIUQi—wen，LIUMing (CollegeofCompu~rScienceandTechnology，HuazhongUniversityofScienceandTechnology,WuhanHubei430074，China) Abstract：Inordertoachievespecificfunctions，computervirusesareofsomespecialbehaviorsdifferentfrom thoseof thenormalprograms．ApplingSupportVectorMachine(SVM)，thepapercreatedaspaceofvirusAPIfeaturevectorand amplifiedthedifferencebetween normal programsandcomputerviurswiththe help ofinfomr ation entropy．Bytraininga classifier，ahyper—planewasf0und，whichcoulddividetheAPIspaceintotwoparts，eachofwhichrepresentedonekindof theprograms．Moreover， the paper collected behaviors ofdifferentkindsofviurses． Through statistics， analysis and calculationonamountofsamples’APIcalls，theamountand distributionpatternsofAPIswereexposed．Asmostviruses’ behaviors arefinite，thepaperset2 100 asthelengthofAPIsequence， thusdetectingmosttestviurses．Compared with previousviursdetectionmethods，theproposedmethodismorepractica1． Keywords：computerviurs；behavior-·baseddetection；informationentropy；multi--classclassification；informationgain