陈志锋李清宝 张 平 冯培钧

（解放军信息工程大学 郑州 450001）（数学工程与先进计算国家重点实验室 郑州 450001）

基于聚类分析的内核恶意软件特征选择

陈志锋*李清宝 张 平 冯培钧

（解放军信息工程大学 郑州 450001）（数学工程与先进计算国家重点实验室 郑州 450001）

针对现有基于数据特征的内核恶意软件检测方法存在随特征的增多效率较低的问题，该文提出一种基于层次聚类的特征选择方法。首先，分析相似度计算方法应用于数据特征相似度计算时存在的困难，提出最长公共子集并设计两轮Hash求解法计算最长公共子集；其次，设计基于最长公共子集的层次聚类算法，有效地将相似特征聚类成簇；在此基础上，设计基于不一致系数的内核恶意软件特征选择算法，大大减少特征数，提高检测效率。实验结果验证了方法的有效性，且时间开销在可接受的范围内。

数据特征；最长公共子集；层次聚类；特征选择；内核恶意软件

1 引言

随着计算机和互联网技术的快速发展，恶意软件对计算机的危害性日益加重，内核恶意软件是针对内核进行攻击的恶意程序，对计算机系统造成的危害更底层、更彻底，攻击具有隐蔽性、持久性等特点。内核恶意软件检测已成为重要的研究方向之一。

现有的内核恶意软件检测方法可分为基于启发式的检测和基于特征的检测两大类［1］。其中基于特征的检测方法是当前的主流方法。特征的描述能力决定了基于特征的检测方法能否有效检测内核恶意软件的能力［2］。……