基于Stacking模型融合的勒索软件动态检测算法

摘要：

针对勒索软件多态变形的特点,动态行为特征分析检测方法被广泛使用,但该方法存在检测特征单一和机器学习算法过拟合的问题.在Stacking模型融合方法的基础上,文章提出一种勒索软件检测算法——XRLStacking.首先,提取出勒索软件的全部原始动态特征并进行去冗余化处理,只保留每个样本调用的API名称、线程编号及顺序编号3类特征;然后,采用融合N-gram与TF-IDF算法去除对分类作用小的特征,以确保每个样本API之间具有有效的调用序列关系;最后,基于Stacking模型融合算法进行分类,以多特征组合来识别勒索软件.基于Cuckoo Sandbox沙盒产生大量真实数据的实验表明,文中算法具有较高的识别准确率,与XGBoost和RF算法相比,该算法能在一定程度上避免过拟合.

关键词：勒索软件、动态检测、XRLStacking算法、API、序列关系

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金[61601467,;民航科技基金[MHRD20140205,;民航安全能力建设基金[PESA170003,PESA2018079,PESA2018082,PESA2019073,PESA2019074

在线出版日期：2020-04-29（万方平台首次上网日期，不代表论文的发表时间）

页数：共9页

页码：57-65