恶意软件分类中的计算机视觉技术分析

cslehe

#111723#（文章起源：收集收拾）   歹意软件是指被计划成对其地点体系形成侵害的任何软件。重要范例是蠕虫，木马和告白软件。现在，每年大概有35万个样本被出产出来，这对反病毒公司来讲变得越来越艰苦，由于只有50%的新歹意软件被讲演，而从这50％中，只有20％会被现有的反病毒软件检测到。用于对歹意软件停止分类的一些传统方式是
沙箱检测：此处可在虚构情况中运转任何可疑软件，在该情况中能够监督其行动，而且依据其行动，将肯定该软件能否为歹意软件。然而这类方式能够被歹意软件绕过，由于歹意软件太大了以致于没法在虚构情况中处置，歹意软件文件还能够以一种含混的、没法辨认的文件格局保留，等等。沙箱检测属于基于行动的歹意软件检测。基于署名的检测：反病毒公司为歹意软件创立一个署名，并在其数据库中更新它。因而，杀毒软件将扫描软件的署名与杀毒公司数据库中的署名停止比拟。正如下面所探讨的，天天大概有350000个歹意软件被创立，对于反病毒公司来讲，为每个歹意软件创立署名是极为艰苦的。现在，反病毒公司正在应用深度进修技巧来凑合歹意软件。在这里，咱们将探究基于卷积神经收集的分类。
在论文《 Malware Images: Visualization and Automatic Classification》中初次看到了分类为灰度图象的特定种别歹意软件图象的类似性。在论文中，他们展现了特洛伊木马病毒的表面。

text部份包括要履行的代码，.text部份的末端为全黑，表现末端的添补为零。.data部份包括未初始化的代码，.rsrc部份包括模块的全部资本，比方利用顺序能够应用的图标。

下面的图片来自《Malware Classification Using Image Representation》论文，此中他们表现了差别家属的歹意软件图片，对于一个家属，咱们能够在图片中看到类似之处。
一样在论文《Convolution Neural Networks for Malware Classification》中，他们还展现了罕见的歹意软件家属的图片，比方Rammit，Gatak（木马版本）等。

因而，在《Malware Images: Visualization and Automatic Classification》一文中，他们应用GIST来盘算纹理特点，并应用存在欧氏间隔的k近邻对其停止分类。以是GIST基础上就是应用Gabor滤波器对图象停止小波剖析。Gabor滤波器是一种线性滤波器，它重要剖析图象在特定偏向上的频率内容。重要用于边沿检测、纹理剖析和特点提取。他们应用了来自25个家属的9,458个歹意软件，正确率高达98%
在《Convolution Neural Networks for Malware Classification>论文中，他们练习了三个模子。
CNN 1C 1D由NxN像素（N = 32）的输入层，卷积层（巨细为11x11的64个filter maps），最大池化层，Densely-connected层（4096个神经元），9个神经元的输出层构成。成果的正确度为0.9857，穿插熵为0.0968CNN 1C 2D由NxN像素（N = 32）的输入层，卷积层（巨细为3x3的64个filter maps），最大池化层，卷积层（巨细为3x3的128个filter maps），最大池化层，Densely-connected层（512个神经元），输出层为9个神经元。成果是正确性：0.9976，穿插熵：0.0231CNN 3C 2D由NxN像素（N = 32）的输入层，卷积层（巨细为3x3的64个filter maps），最大池化层，卷积层（巨细为3x3的128个filter maps），最大池化层，卷积层构成（巨细为3x3的256个filter maps），最大池化层，Densely-connected层（1024个神经元），Densely-connected层（512个神经元），输出层为9个神经元。成果是正确性：0.9938，穿插熵：0.0257在论文《Malware Classification Using Image Representation》中，他们应用了2个模子，一个存在4层（2个卷积层和2个dense层）的CNN模子和一个Resnet18。一般的CNN的正确度为95.24％，Resnet的正确度为98.206％。
如您所见，这些论文宣布的成果大概检测到95-98％的歹意软件，这标明盘算机视觉技巧比传统方式更好。与传统方式比拟，深度进修可能实现十分好的正确性，而且占用的硬件更少。   （fqj）
更多内容阅读推荐：格力变频空调加氟多少钱