谢奇爱，李正茂

(合肥学院 人工智能与大数据学院，合肥 230601)

0 引 言

网络恶意行为攻击是对于计算机网络安全而言最为主要的一种威胁行为。网络恶意行为一般以代码形式攻击计算机网络。[1]近年来，各种新类型的恶意代码通过客户端软件或者计算机端存在的漏洞攻击计算机，给用户的使用带来诸多麻烦。恶意代码传播行为隐秘性高，传播速度快，使用常见的杀毒软件很难有效抑制恶意代码的行为。[2,3]

各类杀毒软件相关公司积极研究遏制恶意代码的相关杀毒软件，但是部分软件研发公司受到利益驱动常常在免费软件中隐藏部分恶意行为，严重威胁到使用者的用户体验，极易泄露使用这的资料和隐私，给网络安全带来重大冲击。[4]恶意行为识别检测是以主机入侵作为基础的识别检测方法之一，一般是使用一种或者数种技术结合实现恶意行为的识别，一旦发现恶意行为立即实行保护机制。常使用的恶意行为识别检测方法主要基于异常检测或者特征码检测，将特征码作为检测基础的手段是判别已知特征码[5]，具有较高检测效果但是对于大量涌现的特征代码却不适用；以异常作为基础的检测方法能够检测出位置软件中存在的恶意行为[6]，一般为漏洞等攻击行为，但是对于其它行为检测效果较差。对于恶意行为相关识别检测已经成为众多研究者的重点。有学者提出基于事件流数据世系的恶意网络行为检测方法[7]，通过事件流对用户和系统之间的网络相关行为实现刻画，构建使用数据驱动的事件流数据世系模型，检测出异常行为，但是该方法在实际应用时，存在漏识别的情况；……