基于改进的朴素贝叶斯恶意代码检测技术研究.pdfVIP

第3O卷第6期 企 业 技 术 开 发 2011年 3月 V01．30 No．6 TECHNOLOGICAL DEVEL0PMENT OF ENTERPRISE Mar．201l 基于改进的朴素 贝叶斯恶意代码检测 技术研 究 梁满满 ，徐 慧 (中国矿业大学(北京)机 电与信息工程学院，北京 100083) 摘 要：文章介绍 了传统的朴素贝叶斯恶意代码检测算法，并在传统朴素贝叶斯算法基础上提 出改进 ，引入贡献 系数 以增大特征项对合法代码与恶意代码 区分的能力 ，实验表 明该方法有效提高 了恶意代码的检测率和精准 率，并且 降低 了恶意代码 的误报率。 关键词：恶意代码 ；朴素 贝叶斯 ；互信息量 ；分类器 中图分类号：TP391．1 文献标识码：A 文章编号：1006—8937(2011)06—0102—02 在网络安全事件 中，由恶意代码危害带来的损失程 (ChlX=x)： ! 2i 2(3)，式中的分母 P(X：x)和类 度最为严重，恶意代码的整治是保障网络安全的关键和 上，(X=xJ 难点。近年来 ，数据挖掘技术开始应用于恶意代码检测领 别 c无关 ，故在式 (1)中比较最大值时可忽略 ，所 以贝叶 域，其可以从已存在的大量代码数据中挖掘出有意义的 斯分类仅计算概率 P(X=xlC)和P(C)。其中P(C)称为 模式 ，利用分类算法对已经正确分类的代码进行训练来 先验概率，可通过样本空间中C类样本的总数Ni占样本 预测未知的代码是否为恶意代码 。其中使用最广泛的是 空间的样本总数 N的比例表示，即P(C)=盟 。而P(X=x 朴素贝叶斯算法，它以各个特征项之间相互独立这个假 。 设为前提。文章在朴素贝叶斯算法条件概率的计算中，选 lC)的计算要困难得多 ，特别是对于特征数 n较大，而且 用了多变量贝努里事件模型的计算方法，在其基础上进 特征变量之间相依程度较高时，其计算将是极费时的。而 行了改进，实验表明该方法有效提高了恶意代码检测的 朴素贝叶斯则是假定各特征变量 xi是相对独立的，其结 检测率和精准率，并且降低了恶意代码的误报率。 构如图2示 。 1 朴素贝叶斯分类 1．1 贝叶斯定理 设Y是类标号未知的数据样本 ，H为某特定的样本 类 ，P(HIY)为给定观测数据样本Y属于类 H的概率。贝 图 2朴素 贝叶斯分类器 叶斯定理如下：P(HIY)= !!2! 上，(YJ 对给定的分类变量 c，各 xi是相对独立 的，因而有 ：P 1．2 朴素贝叶斯分类器 贝叶斯分类器结构如图1所示，该网中应包含一个 (X=xlC)=11P(X=。x。ICh)(4)。 表示分类的节点C，C是类别集合fc，c，……C}中的一个 朴素贝叶斯分类模型有两种 ：多项模型和多变量贝 元素；另外一组节点x={x，X，……x}表示用于分类的特 努里事件模型。多项模型除考虑特征词是否在代码出现 征向量 。 外，还要考虑特征词出现的次数；而多变量贝努里事件模 型只考虑特征词是否在代码 中出现。由于多项模型的计 算复杂性较高，所以文章采用后一种计算方法。若令每个 特征项xi对应的特征值