基于XGBoost和LightGBM双层模型的恶意软件检测方法

作者：徐国天^*; 沈耀童

来源：信息网络安全, 2020, 20(12): 54-63.

• 恶意软件检测
• 流量特征
• 极限梯度提升树
• 轻量级梯度提升机
• 网格搜索

目前基于网络流量的恶意软件检测方法大多依靠专家经验获取特征,此过程耗时费力且提取的流量特征较少,同时,传统特征工程在特征维度较高时复杂度大大增加。针对上述问题,文章提出一种使用极限梯度提升树(XGBoost)和轻量级梯度提升机(LightGBM)双层模型的恶意软件检测方法。在获取目标软件网络流量并提取相关特征后,使用过滤法和互信息法进行特征处理,将数据集导入首层XGBoost模型进行训练;然后结合网格搜索的调参方式得到最优参数组合,获取每个样本在最佳XGBoost模型中各棵树的叶子节点位置,以此创造新特征集;再利用LightGBM模型对新数据集进行训练,从而得到最终检测模型。实验结果表明,与其他检测方法相比,文章方法在恶意软件检测的准确率和实时性方面有显著提高。

• 单位
  中国刑事警察学院