搜索

[669] 2019-01-07_利用硬件性能计数器（HPCs）中的数据检测恶意软件

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-16
2019-01-07_利用硬件性能计数器（HPCs）中的数据检测恶意软件 利 用 硬 件 性 能 计 数 器 （ H P C s ） 中 的 数 据 检 测 恶 意 软 件 A r k T e a m   A r k T e a m   2 0 1 9 - 0 1 - 0 7 作 者 ： { P e r s i s t } @ A r k T e a m 原 文 作 者 ： N i s a r g   P a t e l ,   A v e s t a   S a s a n ,   H o u m a n   H o m a y o u n 原 文 题 目 ： A n a l y z i n g   H a r d w a r e   B a s e d   M a l w a r e   D e t e c t o r s 原 文 来 源 ： D A C   2 0 1 7 在 硬 件 级 别 检 测 恶 意 软 件 正 在 成 为 应 对 安 全 威 胁 增 加 的 有 效 解 决 方 案 。 本 文 是 第 一 次 利 用 各 种 强 大 的 机 器 学 习 方 法 和 H P C s 数 据 来 分 类 良 性 和 恶 意 软 件 应 用 程 序 。 表 格 1   P e r f   可 以 获 取 到 的 4 4 个 H P C 事 件 通 过 在 两 个 隔 离 的 环 境 中 分 别 执 行 恶 意 软 件 和 正 常 程 序 ， 分 支 指 令 对 应 的 H P C 值 会 产 生 一 个 显 著 的 区 别 ， 如 图 所 示 ： 图 1   分 支 指 令 对 应 不 同 的 H P C 值 这 表 示 ， 恶 意 软 件 和 正 常 程 序 有 着 明 显 不 同 的 分 支 指 令 行 为 。 （ 也 适 用 于 其 它 H P C 事 件 ） 利 用 p e r f 工 具 收 集 数 据 ， 从 v i r u s t o t a l . c o m 收 集 恶 意 软 件 ， 在 L i n u x   C o n t a i n e r 中 运 行 恶 意 软 件 ， 运 行 结 束 后 销 毁 ， 防 止 不 同 的 软 件 互 相 污 染 ， 共 有 4 4 个 H P C 事 件 ， 分 为 6 组 ， 每 组 8 个 事 件 。 也 就 是 说 ， 数 据 收 集 时 应 该 运 行 程 序 6 次 。 收 集 到 的 数 据 整 理 成 以 下 格 式 ： 图 2   数 据 格 式
实 验 流 程 图 如 下 所 示 ： 图 3   离 线 训 练 检 测 程 序 由 于 4 4 个 事 件 无 论 是 提 取 过 程 还 是 训 练 过 程 都 会 造 成 巨 大 的 性 能 开 销 ， 为 了 减 小 开 销 ， 本 文 对 4 4 个 H P C 特 征 进 行 了 特 征 削 减 ， 同 为 人 工 分 析 的 方 法 剔 除 了 1 2 个 H P C 事 件 ， 对 于 剩 下 了 3 2 个 事 件 ， 本 文 又 计 算 了 特 征 与 类 别 之 间 的 皮 尔 森 相 关 性 系 数 ， 并 挑 选 了 前 八 个 特 征 进 行 实 验 。 前 八 个 事 件 特 征 如 下 ： 实 验 结 果 如 下 图 所 示 ： 图 4   不 同 机 器 学 习 方 法 的 准 确 性 比 较 本 文 后 续 为 了 降 低 开 销 ， 在 硬 件 平 台 上 实 现 了 这 个 分 类 器 ， 可 以 更 快 地 检 测 出 恶 意 软 件 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理