一种基于多视集成学的恶意软件检测方法

摘要

本发明公开一种基于多视集成学的恶意软件检测方法，对训练样本集中的可执行文件提取字节码n-grams特征视图、操作码n-grams特征视图、格式信息特征视图；对三个特征视图分别或合并后采用不同的分类算法训练出多个基分类器，利用集成学方法集成出分类模型；从待检测样本集中提取出与上述三种特征视图相应的特征；根据提取到的待检测样本集的特征，用所述集成的分类模型对待检测样本进行分类，得到检测结果。本发明集成了表示可执行文件的字节码特征、操作码特征、格式信息特征，实现了特征的互补；使用集成学取代了单个分类器，修正了单分类器的归纳偏置，实现了各分类算法的互补；能有效的检测新出现恶意软件，具备较好的泛化性能。

主权项

一种基于多视集成学习的恶意软件检测方法，其特征在于，包括：步骤A：抽取训练样本集，对训练样本集中的可执行文件提取字节码n‑grams特征视图、操作码n‑grams特征视图，以及格式信息特征视图；步骤B：对字节码n‑grams特征视图采用不同的分类算法训练出多个基分类器，构成第一基分类器集合；对操作码n‑grams特征视图采用不同的分类算法训练出多个基分类器，构成第二基分类器集合；对格式信息特征视图采用不同的分类算法训练出多个基分类器，构成第三基分类器集合；利用集成学习方法处理上述三个基分类器集合，得到集成的分类模型；步骤C：从待检测样本集中提取出与上述三种特征视图相应的特征；步骤D：根据提取到的待检测样本集的特征，用所述集成的分类模型对待检测样本进行分类，得到检测结果。