吴金龙,石晓飞,许　佳,史　军

(江南计算技术研究所，江苏 无锡 214083)



基于随机森林的分层木马检测技术研究*

吴金龙,石晓飞,许佳,史军

(江南计算技术研究所，江苏 无锡 214083)

摘要：为了应对以未知木马为核心的APT类攻击带来的威胁，对基于数据流的木马检测技术进行了研究。提出一种基于分层的多维通信特征的木马检测方法，检测网络数据流中的木马数据。在对已有分类检测算法调研的基础上，创新的将随机森林算法应用于训练集，以建立检测模型，创新的建立了分层评分策略，为分析人员提供可信的检测结果。通过实验将该方法与三种常用的机器学习算法对比，在数据流的检测方面，该方法的准确率至少提高了1.8%，误报率最少降低了2.77%。

关键词：木马检测; 随机森林; 多维特征; APT攻击;分层检测

0引言

随着网络的普及和广泛应用，随之而来的安全问题日益凸出。近年来，网民的上网呈现出网民规模化和上网方式多样化的特点，网民的上网环境异常复杂。据瑞星报告指出，2015 年，新增病毒样本3,715万余个，其中木马病毒占总体病毒的 61.79%，报告期内，共有 4.75 亿人次网民被病毒感染，人均病毒感染次数为 35.65 次。(数据引自《瑞星 2015 年中国信息安全报告》[1])。面对如此规模的网民数和多样的上网方式，保护用户隐私数据，降低上网风险的问题尤为凸出。

除个人终端外，企业用户终端也常成为木马的受害者。据FireEye的调查报告指出[2]。在企业网络中，有95%以上的主机曾被木马植入。然而，在这些被植入的主机中，仅不到10%的木马样本被安全软件和防护设备检测。……