恶意软件分类模型的概念漂移检测与自适应再训练

概念漂移是指数据的统计特性相较于用于训练学习模型的数据随时间发生变化。用于恶意软件检测或分类的机器学习模型特别容易因概念漂移而出现性能下降，因为攻击者会不断修改现有恶意软件。在本章中，我们分析了两种基于机器学习的自动化概念漂移检测方法：一种基于 One-Class Support Vector Machines (OCSVM) 的新方法，以及一种先前研究过的基于 Minibatch K-Means (MK-Means) 的技术。为了进行比较，我们还考虑了 Maximum Mean Discrepancy (MMD)，这是一种用于检测多维数据变化的统计技术。我们开展了一系列广泛实验，比较四种学习模型的有效性，即 Multilayer Perceptron、Random Forest、Support Vector Machines 和 eXtreme Gradient Boosting。对于每种模型，我们考虑三种不同场景：不进行模型再训练的静态场景、不考虑概念漂移而持续再训练模型的周期性场景，以及仅在检测到概念漂移时才再训练模型的漂移感知场景。在漂移感知场景下，我们使用帕累托前沿分析来分析准确率与训练效率之间的权衡。我们发现，三种概念漂移检测技术都能达到与周期性再训练相当的分类准确率，同时在需要再训练的模型数量方面提供显著更高的效率。此外，基于我们 OCSVM 技术的漂移感知再训练通常优于 MK-Means 和 MMD 方法。总体而言，这些结果有力证明，我们能够准确检测恶意软件分类模型中的概念漂移。