[论文解读] A New Generic Taxonomy on Hybrid Malware Detection Technique

Robiah Yusof, S. Siti Rahayu+4 more|ArXiv.org|Sep 26, 2009

Advanced Malware Detection Techniques参考文献 51被引用 27

一句话总结

本文提出了一种新型通用分类法，用于混合恶意软件检测，称为混合恶意软件检测技术（Hybrid MDT），该分类法整合了基于签名的检测与基于异常的检测方法，以提高对已知和未知恶意软件的检测能力，同时减少误报。该分类法将基于混合签名与异常的检测，以及基于混合规范与异常的检测相结合，以解决现有入侵检测系统中的局限性。

ABSTRACT

Malware is a type of malicious program that replicate from host machine and propagate through network. It has been considered as one type of computer attack and intrusion that can do a variety of malicious activity on a computer. This paper addresses the current trend of malware detection techniques and identifies the significant criteria in each technique to improve malware detection in Intrusion Detection System (IDS). Several existing techniques are analyzing from 48 various researches and the capability criteria of malware detection technique have been reviewed. From the analysis, a new generic taxonomy of malware detection technique have been proposed named Hybrid Malware Detection Technique (Hybrid MDT) which consists of Hybrid Signature and Anomaly detection technique and Hybrid Specification based and Anomaly detection technique to complement the weaknesses of the existing malware detection technique in detecting known and unknown attack as well as reducing false alert before and during the intrusion occur.

研究动机与目标

• 解决现有恶意软件检测技术在有效识别已知和未知恶意软件方面的局限性。
• 通过整合互补的检测策略，减少入侵检测系统中的误报。
• 开发一种全面且通用的分类法，统一多种恶意软件检测方法，以提升系统韧性。
• 分析48项现有研究，以识别有效恶意软件检测的关键能力标准。
• 提出一种混合框架，以增强在动态网络威胁环境中的检测准确性和适应性。

提出的方法

• 基于对48项现有恶意软件检测研究的综合分析，提出一种名为混合恶意软件检测技术（Hybrid MDT）的新分类法。
• 将基于签名的检测与基于异常的检测相结合，以提升对已知和零日恶意软件的检测能力。
• 将基于规范的检测与基于异常的检测相结合，以提高检测精度并减少误报。
• 根据其核心机制对检测技术进行分类：基于签名、基于异常和基于规范的方法。
• 建立双分支分类法：一个结合基于签名与异常的检测，另一个结合基于规范与异常的检测。
• 通过系统性回顾现有文献，识别混合检测系统的关键性能标准与设计原则。

实验结果

研究问题

• RQ1 如何对现有恶意软件检测技术进行系统性分类，以提升检测覆盖范围？
• RQ2 当前基于签名的检测与基于异常的检测方法在真实入侵检测系统中的关键局限性是什么？
• RQ3 如何通过检测技术的混合化来减少误报，同时保持高检测率？
• RQ4 何种结构框架能够实现多种检测范式在单一分类法中的有效整合？
• RQ5 能否设计一种通用分类法，以支持对已知和未知恶意软件的检测，同时提升准确性和可扩展性？

主要发现

• 所提出的混合恶意软件检测技术（Hybrid MDT）分类法有效整合了基于签名与基于异常的检测，显著提升了对已知和未知恶意软件的检测能力。
• 基于规范与异常的混合方法在入侵检测过程中显著减少了误报警报。
• 通过结合互补的检测机制，该分类法展现出更强的适应性与鲁棒性。
• 对48项研究的分析表明，混合技术在检测覆盖范围与准确性方面优于单一方法。
• 该框架为未来先进入侵检测系统的发展提供了标准化且可扩展的模型。
• 本研究证实，检测技术的混合化可构建更具韧性与可扩展性的恶意软件检测架构。