恶意软件检测研究领域综述

这是一篇关于恶意软件检测研究领域综述的思维导图，主要内容包括：基于学习，基于行为，基于签名，基于静态分析，基于动态分析。

恶意软件检测研究领域综述

• 基于静态分析
  • 字符串提取
    • 从二进制中提取 URL、IP 或命令字符串，检查恶意指示
  • 反汇编与代码审查
    • 将二进制反汇编成汇编代码，分析控制流和 API 调用
  • 模糊哈希
    • 使用 SSDEEP 等算法比较相似但不完全相同的文件
• 基于学习
  • 恶意软件可视化研究
    • 基于机器学习的可视化检测
      • N-Gram
        • SNN聚类算法
        • 结合纹理特征与颜色特征
      • GLCM
        • 熵、字节值和相对大小可视化为彩色图
      • 方向梯度图
      • GIST特征
    • 基于深度学习的可视化检测
      • 空间填充曲线
        • 显式字符
        • 操作码频率
      • 反汇编
        • 汇编指令词向量
        • 基于区段彩色图片可视化
      • 使用Simhash或者Minihash
        • 结合了操作码序列
        • 结合原始代码和RNN预测吗
      • 常规方法
        • Andrew矢量化
        • 基于序列分割可视化为彩色图片
        • Nataraj矢量化
          • 加入SPP金字塔层
          • 添加彩色映射
  • 恶意软件图表示学习
    • 控制流程图(CFG)
      • 节点表示基本块，边表示控制流
    • 函数调用图(FCG)
      • 节点表示函数，边表示从一个函数调用另一个函数
    • 程序依赖图(PDG)
      • 节点表示指令或语句，边表示执行节点操作必须满足的数据值和控制条件
    • 系统调用图(SCG)
      • 节点表示系统调用，边表示这些调用的交互
    • 网络流量图(NFG)
      • 节点表示IP地址或端口，边表示网络流
    • 系统实体图(SEG)
      • 节点表示过程，文件，注册表Key，边表示这些实体之间的操作
  • 传统机器/深度学习分类
    • 无监督学习
      • 使用 Autoencoders 或聚类算法识别异常样本
    • 有监督学习
      • 提取特征，使用DT,SVM，DNN等方法分类
    • 联邦学习
    • 迁移学习
      • 如上级提到的可视化
    • 多模态
  • LLM
    • BERT
    • GPT
    • AppPoet
    • LLM对抗恶意软件生成
    • LLM Agent
• 基于动态分析
  • 沙箱执行
  • 内存转储与分析
  • API 钩子与监控
• 基于行为
  • 系统调用监控
  • 网络活动分析
  • 文件系统变化检测
• 基于签名
  • 哈希匹配
  • 字符串/模式匹配
  • 文件头/元数据检查