​机器学习在恶意软件检测中的重要作用

使用机器学习进行威胁检测对于应对恶意软件的大量增长至关重要。一家独立的IT安全研究机构AV-Test称，它每天检测到惊人的350,000个新恶意软件样本。该公司计算出，目前有超过9.72亿个恶意软件标本涌入互联网。

网络安全行业投入了数十亿美元来尝试识别和防御恶意软件。网络罪犯试图通过调整其代码和技术来击败游戏，以期超越网络安全防御。

但是，并非所有恶意软件都是平等的。根据其签名，可以轻松检测到更简单的恶意软件。一些恶意软件具有类似的基础代码结构，表明其起源于恶意软件的“家族”，因此，通常可以轻松地识别出该恶意软件。但是，恶意软件通常来自复杂的开发人员，旨在逃避简单的签名检测。恶意软件不断增加的速度，数量和复杂性都带来了巨大的挑战。

现代反恶意软件软件采用行为启发式算法来发现可疑特征，这些特征指示新病毒或现有威胁的修改版本以及已知的恶意软件样本。通常将其分层放置在基于签名的检测之上，以阻止数百万种已知病毒。

网络安全中的机器学习通过使反恶意软件能够根据分析大量已知和已知坏文件而学习的模式来学习哪些文件是恶意文件和哪些文件是良性文件，从而进一步发展。它基于基于代码结构，内容，源，新近度，熵，行为等而学习的功能，来决定所分析的代码是否可能有害。正如机器学习中的典型情况一样，并非所有功能都有相同的权重，并且相关的功能和权重会随着时间而变化。自然，成功取决于不断更新的大型动态数据池。

确定为良性的代码可能具有某些特征，机器学习系统认为这些特征可能是恶意软件的指示。使用此知识，该算法可以比较其数据库中其他文件的代码属性。因此，以前看不见的代码可能是一个新文件，例如零时差威胁，这可能是最致命的恶意软件威胁类型之一。

零时差是指新发现的软件漏洞。之所以称其为“零日”，是因为开发人员刚刚了解到该漏洞，并且这也意味着尚未发布用于解决该问题的正式补丁或更新。开发人员有零天的时间来解决刚暴露的问题，而且供应商可能无法在黑客设法利用安全漏洞之前发布补丁。零时差攻击可以迅速影响全球数百万个系统。

零日攻击最臭名昭著的例子之一是Stuxnet病毒，该病毒曾被用来破坏的核计划。它从未打算传播到位于纳坦兹的核设施以外，但由于其极其复杂和侵略性，它确实传播了至全世界。

Stuxnet于2010年首次被发现，然后机器学习在网络安全中流行。如果当时机器学习得到广泛部署，它可能会防止不必要的Stuxnet感染超出目标的其他系统。尽管Stuxnet具有强大的编码智能，但如今的机器学习仍然能够权衡具有未知代码特征的良性代码，并得出结论，它是恶意软件。

机器学习恶意软件检测是防御恶意软件的第一线工作。它可以识别和消除零日攻击，并得到基于传统特征码的检测和行为分析的支持。在不断发展的网络威胁形势下，这种分层的网络安全方法变得越来越重要，在这种情况下每天都会出现新的恶意软件和攻击方法，并使网络安全团队能够更加主动地预防威胁并实时响应主动攻击。