面向海量恶意程序检测的行为序列挖掘方法研究

With the amount of various malware increasing drmatically , it poses great threat to the computer system security. This project studies the theory and technology used for massive software behavior detection. It includes the following main contents: (1)Formalization of malware behavior pattern and feature generation in conjunction with malware social graph. (2) Mapping of high dimension behavior sequences to distributed representation, develop new data mining model and algorithm for category featured sequence of events. (3) Redesign the HMM model which can be deployed on parallel computing framework to facilitate high volume parallel processing. Based on the aforementioned work to build new massive malware behavior detection system, which can provide automatic, fast, accurate service for malware analyzing, detecting and handling. The project is of good value on both theory and application sides.

随着网络技术的发展和安全形势的变化，恶意程序数量呈指数增长而且变种层出不穷。本课题面向海量恶意程序检测这个热点应用，围绕序列数据挖掘这个领域难题，开展高效海量恶意程序行为序列挖掘方法研究。研究内容包括:1)基于恶意程序变种繁衍形成各种家族的现实，从动静结合的角度，研究文件社交图和行为序列相结合的恶意程序特征提取方法，相比单独使用动态分析方法或文件关联信息分析方法，能获得更准确的恶意程序家族行为特征;2)由于衡量类属型变量之间相似度及其顺序关系的困难，能有效进行行为序列挖掘的方法还较缺乏。研究恶意程序行为序列向分布式向量空间的转换，将恶意程序的核心关键行为视为主题，通过主题模型聚类降维，获得低维稠密的分布式向量;3)隐马尔科夫模型是恶意程序行为序列分析的有力工具，为了提高其处理海量序列的效率，研究隐马尔科夫模型的并行化建模及其在特定并行框架上的部署。选题具有较好的理论深度和应用价值。

本项目针对海量恶意程序行为序列检测的难题，根据项目书中列出的问题开展了如下几方面的研究：(1)恶意软件动态和静态特征的提取和结合，(2)恶意软件行为序列的语义化标注及匹配，(3)复杂网络聚类数目的确定，(4)隐马尔科夫模型的并行化改进，展开了针对海量恶意软件检测应用的行为序列挖掘方法研究。项目提出了一种新的安卓恶意软件特征选择方法，解决了行为序列挖掘问题中聚类数目难以确定的问题，开创性地提出了恶意软件行为语义标注及匹配的方法，并对相关的语义标注和模式匹配方法(schema match)进行了相关研究，另外还提出了一种新型的基于粒子群优化的复杂网络社区检测方法，能有效的实现恶意软件族群鉴别，改变了恶意软件变种繁多难以检测的局面。项目取得了一系列国际领先水平的成果，发表了13篇期刊论文和1篇会议论文，其中9篇被SCI索引，其他多数也被EI收录，并且有多篇论文在中国计算机学会(CCF) A类或B类的期刊或会议中，包括ACM Computing Surveys等国际顶级期刊。研究成果为开发高效恶意软件检测，尤其是安卓平台上的恶意代码检测工具开发奠定了理论基础。本项目培养了硕士生8名，组建了一支高素质、年龄结构合理、在恶意软件检测领域具有较好国际影响力的研究团队，并积极开展了国内国际科技交流与合作。