李 怡，李 進(jìn)

(空軍工程大學(xué)防空反導(dǎo)學(xué)院，西安，710051)

近年來(lái)，互聯(lián)網(wǎng)上的惡意代碼數(shù)量呈井噴式增長(zhǎng)，已成為互聯(lián)網(wǎng)安全的主要威脅之一?！?020年中國(guó)網(wǎng)絡(luò)安全報(bào)告》[1]顯示：2020年瑞星“云安全”系統(tǒng)共截獲病毒樣本總量1.48億個(gè)，病毒感染次數(shù)3.52億次，病毒總體數(shù)比2019年同期上漲43.71%。與此同時(shí)，為了躲避殺毒軟件的檢測(cè)，攻擊者采用各種混淆技術(shù)對(duì)惡意代碼進(jìn)行變種，使其隱蔽性大大增強(qiáng)，安全檢測(cè)難度加大，因此對(duì)惡意代碼及其變種進(jìn)行高效檢測(cè)是互聯(lián)網(wǎng)安全目前面臨的巨大挑戰(zhàn)。

惡意代碼檢測(cè)主要分為靜態(tài)檢測(cè)和動(dòng)態(tài)檢測(cè)。靜態(tài)檢測(cè)[2]指不實(shí)際運(yùn)行樣本，通過(guò)反編譯工具將惡意代碼反匯編為可讀的二進(jìn)制源代碼，從中提取操作碼和API等靜態(tài)特征對(duì)其進(jìn)行分析。動(dòng)態(tài)檢測(cè)[3]指在安全可控的虛擬環(huán)境中運(yùn)行樣本，根據(jù)惡意代碼對(duì)操作系統(tǒng)的資源調(diào)度行為進(jìn)行分析。然而這些傳統(tǒng)方法需要依賴(lài)大量人工特征工程，比較耗時(shí)，也無(wú)法有效檢測(cè)惡意代碼變體。近年來(lái)，研究人員在傳統(tǒng)檢測(cè)方法的基礎(chǔ)上，將惡意代碼二進(jìn)制文件可視化為圖像，然后結(jié)合深度學(xué)習(xí)對(duì)惡意代碼家族進(jìn)行分類(lèi)。卷積神經(jīng)網(wǎng)絡(luò)[4]是深度學(xué)習(xí)中最具代表性的技術(shù)之一，近年來(lái)在自然語(yǔ)言處理、文本處理和圖像識(shí)別等領(lǐng)域發(fā)展迅速，它可以自動(dòng)學(xué)習(xí)輸入數(shù)據(jù)的特征而不需要人工參與。Cui等人[5]提出了一種基于CNN的惡意軟件變體檢測(cè)模型，將惡意代碼轉(zhuǎn)化為灰度圖，并使用BAT算法解決了惡意代碼樣本家族數(shù)量不平衡的問(wèn)題。王國(guó)棟等人[6]提出基于CNN-BiLSTM的惡意代碼家族檢測(cè)模型，該模型可以從惡意代碼灰度圖中自動(dòng)學(xué)習(xí)特征，大大降低了人工提取特征的成本，同時(shí)BiLSTM可以關(guān)注更多的局部和全局特征。但隨著惡意代碼變種越來(lái)越多樣化，淺層卷積神經(jīng)網(wǎng)絡(luò)已不足以提取復(fù)雜的紋理特征，于是一些深層卷積神經(jīng)網(wǎng)絡(luò)被用于惡意代碼家族檢測(cè)中，如：Alexnet[7]、VGGNet[8]、GoogleNet[9]和ResNet[10]等，這些網(wǎng)絡(luò)結(jié)構(gòu)通過(guò)不斷加深網(wǎng)絡(luò)深度和寬度，使其能夠提取更深層次的特征。蔣考林等人[11]提出一種基于多通道圖像特征和AlexNet神經(jīng)網(wǎng)絡(luò)的惡意代碼檢測(cè)方法，多通道圖像比二階灰度圖能體現(xiàn)更多的紋理特征。王博等人[12]利用VGGNet生成惡意樣本分類(lèi)模型，對(duì)惡意代碼RGB圖像進(jìn)行分類(lèi)檢測(cè)，識(shí)別準(zhǔn)確率有一定提升。不斷加深網(wǎng)絡(luò)深度，一定程度上可以提高惡意代碼識(shí)別效率，但同時(shí)也會(huì)引起模型梯度爆炸，參數(shù)量劇增等問(wèn)題，需要耗費(fèi)大量的計(jì)算開(kāi)銷(xiāo)。

針對(duì)上述現(xiàn)有惡意代碼檢測(cè)模型識(shí)別率不高且模型參數(shù)過(guò)大的問(wèn)題，本文提出一種基于Ghost-DenseNet-SE的惡意代碼家族檢測(cè)方法。同時(shí)，為進(jìn)一步提高對(duì)惡意代碼家族準(zhǔn)確分類(lèi)的能力，在DenseNet中引入通道域注意力機(jī)制，得到特征更顯著的特征圖。通道注意力機(jī)制的加入也會(huì)增加模型參數(shù)量，并使用Ghost模塊替換Dense Block的卷積層，以達(dá)到保證模型檢測(cè)精度的前提下減少模型參數(shù)，最終實(shí)現(xiàn)惡意代碼家族檢測(cè)模型的輕量化，使其能更好地部署在資源有限的平臺(tái)上。

1 基礎(chǔ)理論

1.1 密集連接網(wǎng)絡(luò)DenseNet

DenseNet是Huang G[13]等人提出的一種具有密集連接的卷積神經(jīng)網(wǎng)絡(luò)。該網(wǎng)絡(luò)結(jié)構(gòu)主要由稠密塊 (Dense Block)和過(guò)渡層(Transition Layer)組成，模型結(jié)構(gòu)見(jiàn)圖1。DenseNet網(wǎng)絡(luò)結(jié)構(gòu)中包含了多個(gè)Dense Block模塊，其中每個(gè)Dense Block由BN-Relu-Conv(3×3)組成；每?jī)蓚€(gè)相鄰的Dense block之間的Transition Layer由BN-Relu-Conv(1×1)(filternum:m)-doupout-Pooling(2×2)組成。

圖1 DenseNet結(jié)構(gòu)

1.1.1 稠密塊(Dense Block)

在Dense Block模塊中，任意兩層之間有著密切的聯(lián)系，其內(nèi)部結(jié)構(gòu)見(jiàn)圖2，將所有層的特征進(jìn)行相互拼接，即對(duì)任意一層之前的所有層的輸出結(jié)果進(jìn)行疊加作為該層的輸入，然后把該層的結(jié)果和之前層的輸出結(jié)果作為下一層的輸入傳輸下去。

圖2 Dense Block內(nèi)部結(jié)構(gòu)

對(duì)于L層網(wǎng)絡(luò)而言，第l層的輸入由式(1)得出：

xl=H([x0,x1,…,xl-1])

(1)

式中：x0,x1,…,xl-1分別表示第0層到第l-1層所對(duì)應(yīng)的特征圖；

[x0,x1,…,xl-1]表示對(duì)第0層到第l-1層的所對(duì)應(yīng)的特征圖進(jìn)行級(jí)聯(lián)；

Hl(?)表示包含BN，Relu和Conv 3種操作的復(fù)合函數(shù)。

在Dense Block中每個(gè)復(fù)合函數(shù)Hl(?)可以輸出k個(gè)特征圖，則第l層會(huì)輸入k0+k(l-1)特征圖，其中k0表示輸入層的的通道數(shù)channel。k也稱(chēng)為網(wǎng)絡(luò)的生長(zhǎng)率(groeth rate)，它是一個(gè)超參數(shù)，用來(lái)避免網(wǎng)絡(luò)增長(zhǎng)過(guò)快。

1.1.2 過(guò)渡層

過(guò)渡層用來(lái)連接兩個(gè)相鄰的密集塊，通過(guò)池化來(lái)降低特征圖的大小，讓模型變得更緊湊。為了進(jìn)一步壓縮模型尺寸，引入壓縮因子θ，取值范圍為(0,1]。當(dāng)密集塊輸出m個(gè)特征圖時(shí)，過(guò)渡層通過(guò)卷積可以產(chǎn)生θm個(gè)特征。θ<1時(shí)，特征圖數(shù)目壓縮為原來(lái)的θ倍；θ=1時(shí)，不壓縮。

1.2 通道域注意力機(jī)制(SeNet)

通道域注意力機(jī)制常被用于卷積神經(jīng)網(wǎng)絡(luò)中，對(duì)圖像中的重要信息部分進(jìn)行可視化[14]。該機(jī)制的核心架構(gòu)單元為Squeeze-and-Excitation(SE) Block[15]，內(nèi)部結(jié)構(gòu)如圖3所示。首先使用Squeeze(擠壓)操作作用于經(jīng)過(guò)卷積池化操作的特征圖，使其在通道上得到特征圖的全局信息；然后使用Excitation(激勵(lì))操作來(lái)獲得通道之間的依懶性，得到不同通道的權(quán)重，該操作采用Sigmoid(門(mén)函數(shù))；最后對(duì)最終特征圖進(jìn)行Scale操作。

圖3 Squeeze-and-Excitation Block內(nèi)部結(jié)構(gòu)

Squeeze操作是對(duì)圖像進(jìn)行全局平均池化操作，即對(duì)得到的每個(gè)特征圖進(jìn)行空間維度上的壓縮，結(jié)果得到該層C個(gè)特征圖的全局信息。見(jiàn)式(2)：

(2)

Excitation操作是對(duì)Squeeze得到的1×1×C征圖先進(jìn)行全連接層操作，在全連接層操作中引入縮放因子(reduction ratio)來(lái)減少通道數(shù)量從而減少計(jì)算量；再將其結(jié)果經(jīng)過(guò)Sigmoid(門(mén)函數(shù))得到C個(gè)特征圖的權(quán)重，通過(guò)權(quán)重來(lái)表示通道之間的依賴(lài)程度，最終使得神經(jīng)網(wǎng)絡(luò)能夠自主學(xué)習(xí)到不同通道的關(guān)鍵信息，見(jiàn)式(3)：

x=Fex(z,W)=σ(g(z,W))=σ(W2δ(W1z))

(3)

Scale操作是將原特征通道值與Excitation相乘得到的不同權(quán)重，從而加強(qiáng)對(duì)原特征圖的關(guān)鍵通道域的注意，得到新特征圖并輸入到下一層，如式(4)所示：

XC=Fscale(uC,sC)=sC·uC

(4)

1.3 Ghost模塊

Ghost模塊是Han等人從特征圖的冗余問(wèn)題出發(fā)，提出的一種輕量化卷積模塊[16]。該卷積模塊通過(guò)一系列線(xiàn)性操作來(lái)生成更多的特征映射，在不改變輸出特征圖大小的情況下，既保證了模型的精度，又減少了模型參數(shù)，達(dá)到了網(wǎng)絡(luò)模型輕量化的效果。

Ghost模塊分兩步進(jìn)行，內(nèi)部結(jié)構(gòu)如圖4所示。第1步先通過(guò)普通卷積生成少量真實(shí)的冗余特征圖Y；第2步對(duì)第1步生成的少量真實(shí)冗余特征圖進(jìn)行線(xiàn)性變換，獲得另一部分冗余特征圖Y′；最后將兩部分冗余特征圖拼接在一起，組成完整的冗余特征圖。

圖4 Ghost模塊內(nèi)部結(jié)構(gòu)

2 基于Ghost-Densenet-SE的惡意代碼家族檢測(cè)模型

2.1 惡意代碼可視化

惡意代碼二進(jìn)制位字符串可以分為多個(gè)長(zhǎng)度為8 bit的子字符串，這些子字符串中的每一位都可以被視為一個(gè)像素，因?yàn)檫@8 bit可以解釋為0～255范圍內(nèi)的無(wú)符號(hào)整數(shù)，其中0為黑色，255為白色。選取連續(xù)的3個(gè)子字符串，分別對(duì)應(yīng)于彩色圖像中的R、G、B3個(gè)通道，即第1個(gè)8 bit字符串轉(zhuǎn)化為R通道的值，第2個(gè)8 bit字符串轉(zhuǎn)化為G通道的值，第3個(gè)8 bit字符串轉(zhuǎn)化為B通道的值；重復(fù)這一操作使得所有數(shù)據(jù)都被選完(最末段端數(shù)據(jù)量不足3字符串的，用0補(bǔ)足)。利用該原理，二進(jìn)制惡意代碼便轉(zhuǎn)化為十進(jìn)制數(shù)字的一維向量，固定256為行寬向量，高度根據(jù)文件大小變化。最終，惡意代碼被解釋為RGB圖像，具體流程如圖5所示。

圖5 惡意代碼可視化過(guò)程

2.2 模型構(gòu)建

本文提出的基于Ghost-Densenet-SeNet的惡意代碼家族檢測(cè)模型，首先利用惡意代碼可視化技術(shù)將惡意代碼轉(zhuǎn)化為RGB圖像，然后用提出的模型對(duì)圖像數(shù)據(jù)集進(jìn)行訓(xùn)練，最終實(shí)現(xiàn)對(duì)惡意代碼家族的分類(lèi)識(shí)別。本文使用密集連接網(wǎng)絡(luò)DenseNet作為主干網(wǎng)絡(luò)，既緩解了傳統(tǒng)卷積神經(jīng)網(wǎng)絡(luò)因不斷加深網(wǎng)絡(luò)深度和寬度而帶來(lái)的梯度消失和參數(shù)量劇增問(wèn)題；同時(shí)鼓勵(lì)特征復(fù)用，能夠提取惡意代碼圖像更豐富的特征。然后在DenseNet中引入通道域注意力機(jī)制，得到特征更顯著的特征圖，進(jìn)一步提高對(duì)惡意代碼家族準(zhǔn)確分類(lèi)的能力。最后使用Ghost模塊去重構(gòu)Dense Block的卷積層以減少模型參數(shù)，使得模型能更好地部署在資源有限的移動(dòng)端。

在將圖像數(shù)據(jù)集輸入到模型中時(shí)，先做一次卷積操作，然后進(jìn)入第1個(gè)Dense Block，一共使用了3個(gè)Dense Block。每2個(gè)Dense Block之間連接1個(gè)Transition Layer，共2個(gè)Transition Layer。在最后一個(gè)Dense Block之后引入SE，得到特征更顯著的特征圖，SE中共兩個(gè)全連接層，在第1個(gè)全連接層中引入縮放因子ratio來(lái)減少通道數(shù)，具體數(shù)值通過(guò)實(shí)驗(yàn)調(diào)優(yōu)來(lái)設(shè)置。為減少因引入SE而增加的模型參數(shù)，使用由1個(gè)點(diǎn)卷積和1個(gè)5×5的通道卷積組成的Ghost模塊替換除第1層卷積之外，所有Dense Block中的3×3標(biāo)準(zhǔn)卷積。最后在SE后連接1個(gè)全局平均弛化和1個(gè)有25個(gè)神經(jīng)元的全連接層，以實(shí)現(xiàn)對(duì)惡意代碼家族的分類(lèi)。

本文的惡意代碼家族檢測(cè)模型訓(xùn)練與檢測(cè)過(guò)程相關(guān)算法如表1所示。

表1 惡意代碼家族檢測(cè)模型訓(xùn)練與檢測(cè)過(guò)程相關(guān)算法

3 實(shí)驗(yàn)結(jié)果與分析

3.1 數(shù)據(jù)集

本文選取公開(kāi)數(shù)據(jù)集Malimg，此數(shù)據(jù)集包括25個(gè)不同家族的惡意樣本，共9 339個(gè)，具體樣本種類(lèi)和數(shù)量分布如圖6所示。

圖6 Malimg惡意代碼樣本種類(lèi)和數(shù)量分布

3.2 數(shù)據(jù)預(yù)處理

卷積神經(jīng)網(wǎng)絡(luò)要求輸入的圖像大小要相同，而不同大小的惡意代碼二進(jìn)制可執(zhí)行文件轉(zhuǎn)化成的RGB圖像尺寸不同，因此在輸入神經(jīng)網(wǎng)絡(luò)之前需要先將圖像處理為大小一致的圖片。本文所使用的模型要求輸入的RGB圖像尺寸為224×224，為了確保圖像紋理信息的完整性，本文先對(duì)圖像的邊界部分使用0 byte填充使其成為正方形，然后等比例縮放至224×224大小。圖7顯示了部分惡意代碼家族二進(jìn)制文件預(yù)處理后的圖像示例，由上到下依次是：Adialer.C家族，VB.AT家族和Skintrim.N家族。從這些圖像示例中可以看出，同一家族的惡意代碼在圖像紋理性上具有相似性，而不同家族的惡意代碼在圖像紋理性上具有差異性。

圖7 部分惡意代碼家族圖像

3.3 評(píng)價(jià)指標(biāo)

在實(shí)驗(yàn)過(guò)程中，本文使用以下5個(gè)評(píng)價(jià)指標(biāo)對(duì)本文提出的惡意代碼檢測(cè)模型進(jìn)行評(píng)估：A為準(zhǔn)確率(Accuracy)，P為精確率(Precision)，R為召回率(Recall)，F(xiàn)1為F1-score，L為損失率(Loss)。

TP為正類(lèi)樣本被模型預(yù)測(cè)為正類(lèi)的比例；TN為負(fù)類(lèi)樣本被模型預(yù)測(cè)為負(fù)類(lèi)的比例；FP為負(fù)類(lèi)樣本被模型預(yù)測(cè)為正類(lèi)的比例；FN為正類(lèi)樣本被模型預(yù)測(cè)為負(fù)類(lèi)的比例。

(5)

(6)

(7)

(8)

(9)

3.4 對(duì)比分析

本次實(shí)驗(yàn)在Centos7系統(tǒng)環(huán)境下進(jìn)行，硬件配置：Intel(R) Xeon(R) Silver 4110 CPU @ 2.10 GH，GPU型號(hào)為 Quadro RTX 5000/Pcle/SSE2，CUDA 11.0。軟件平臺(tái)為PyCharm，使用Phthon3.8編程，訓(xùn)練與測(cè)試框架為深度學(xué)習(xí)開(kāi)源框架Keras2.4.3和 TensorFlow2.4.1。

3.4.1 壓縮比影響實(shí)驗(yàn)

本實(shí)驗(yàn)將惡意代碼圖像數(shù)據(jù)集按照8∶1∶1的比例隨機(jī)劃分為訓(xùn)練集、驗(yàn)證集和測(cè)試集。Epoch設(shè)置為100，Batch Size設(shè)置為32。實(shí)驗(yàn)?zāi)Ｐ筒捎眉尤胪ǖ烙蜃⒁饬C(jī)制的密集連接網(wǎng)絡(luò)DenseNet，其學(xué)習(xí)率、壓縮比、損失函數(shù)等參數(shù)的設(shè)置都會(huì)影響惡意代碼檢測(cè)的精度。模型采取交叉熵?fù)p失函數(shù)來(lái)衡量真實(shí)值與預(yù)測(cè)值之間的差異，采用Adam優(yōu)化器對(duì)網(wǎng)絡(luò)進(jìn)行優(yōu)化，學(xué)習(xí)率選用經(jīng)驗(yàn)值0.001，最終通過(guò)softmax函數(shù)進(jìn)行分類(lèi)。通道域注意力機(jī)制中的超參數(shù)ratio通過(guò)實(shí)驗(yàn)獲取最合適的值。壓縮比ratio對(duì)惡意代碼檢測(cè)性能的影響如表2所示：

表2 壓縮比r對(duì)檢測(cè)結(jié)果的影響

經(jīng)上述實(shí)驗(yàn)，通過(guò)權(quán)衡模型的準(zhǔn)確率和參數(shù)量，最終將超參數(shù)ratio設(shè)置為4。本文提出的方法實(shí)驗(yàn)結(jié)果如圖8所示，隨著測(cè)試次數(shù)的增加，精確度和交叉熵?fù)p失值會(huì)收斂到一定值，模型逐漸收斂、平穩(wěn)。在這100次迭代過(guò)程中，選取測(cè)試集中準(zhǔn)確率最高的值為模型的準(zhǔn)確率，相應(yīng)的損失值即為該模型的損失值，本模型的準(zhǔn)確率可達(dá)到99.14%。

圖8 Ghost-DenseNet-SE檢測(cè)模型實(shí)驗(yàn)結(jié)果

3.4.2 模型性能對(duì)比

為了進(jìn)一步驗(yàn)證本文所提的加入通道域注意力機(jī)制的DenseNet模型對(duì)惡意代碼家族有更高的識(shí)別準(zhǔn)確率，將其與文獻(xiàn)[11]中的AlexNet檢測(cè)模型與文獻(xiàn)[12]中的VGGNet檢測(cè)模型進(jìn)行比較。采用準(zhǔn)確率、召回率、F1-score和損失值等作為評(píng)價(jià)指標(biāo)，實(shí)驗(yàn)結(jié)果如表3、圖9所示。

表3 各模型實(shí)驗(yàn)結(jié)果對(duì)比

圖9 各模型實(shí)驗(yàn)結(jié)果對(duì)比

從上述表和圖可以看出，在實(shí)驗(yàn)數(shù)據(jù)不變的情況下，結(jié)合通道域注意力機(jī)制和密集連接網(wǎng)絡(luò)DenseNet的惡意代碼家族檢測(cè)模型效果最好，準(zhǔn)確率高達(dá)99.17%，對(duì)比文獻(xiàn)[11]中的AlexNet和文獻(xiàn)[12]中的VGGNet分別提高了1.37%和3.01%，召回率和F1-score也均高于文獻(xiàn)中的兩種模型，模型收斂速度也更加迅速；同時(shí)DenseNet-SE的損失值也最低，表明該模型的檢測(cè)結(jié)果與真實(shí)值更接近。在沒(méi)有加入注意力機(jī)制之前，僅采用DenseNet，準(zhǔn)確率也高于其余兩種模型，這是由于Dense Block采用密集連接方式，使所有層之間的特征都相互聯(lián)系，加強(qiáng)了特征傳播，因此DenseNet網(wǎng)絡(luò)對(duì)惡意代碼圖像特征的提取能力更強(qiáng)。在DenseNet中加入注意力機(jī)制后，準(zhǔn)確率提高了0.97%，說(shuō)明該機(jī)制為通道分配不同的權(quán)重，能夠得到信息更顯著的特征通道。因此DenseNet-SE模型在惡意代碼家族識(shí)別準(zhǔn)確率和收斂速度上有更優(yōu)越的性能。

實(shí)驗(yàn)除對(duì)各模型準(zhǔn)確率進(jìn)行對(duì)比外，還對(duì)各模型參數(shù)進(jìn)行對(duì)比。在提高惡意代碼檢測(cè)精度的前提下，減小模型體積也是優(yōu)化模型的目標(biāo)之一，模型參數(shù)對(duì)比結(jié)果如表4所示。

表4 各模型參數(shù)量對(duì)比

由上表可以清晰地看出，DenseNet網(wǎng)絡(luò)對(duì)于AlexNet準(zhǔn)確率雖只提高了0.4%，但是模型參數(shù)卻大大減少，對(duì)比VGGNet模型參數(shù)量也明顯減少。這還是由于DenseNet各層間密集連接的方式，傳統(tǒng)CNN有L個(gè)連接，而DenseNet只有L(L+1)/2個(gè)連接。通道域注意力機(jī)制的引入，會(huì)導(dǎo)致模型參數(shù)量增加，在此基礎(chǔ)上用輕量化Ghost模塊重構(gòu)Dense Block的卷積層，參數(shù)量減少了39%，模型體積得到了有效的壓縮，同時(shí)準(zhǔn)確率只下降了0.03%，幾乎無(wú)損精度。結(jié)合輕量化Ghost卷積，密集連接網(wǎng)絡(luò)DenseNet和通道域注意力機(jī)制SE的惡意代碼家族檢測(cè)模型最終綜合性能優(yōu)于其它檢測(cè)模型，證明了本文所提方法的有效性。

4 結(jié)語(yǔ)

本文針對(duì)現(xiàn)有惡意代碼家族檢測(cè)模型存在識(shí)別準(zhǔn)確率不高，且模型參數(shù)太大，難以在實(shí)際環(huán)境中運(yùn)行等問(wèn)題，提出一種基于Ghost-DenseNet-SE的惡意代碼家族檢測(cè)方法。將DenseNet作為主干網(wǎng)絡(luò)，該網(wǎng)絡(luò)對(duì)各層使用密集連接的方法，解決了由于加深網(wǎng)絡(luò)帶來(lái)的模型退化問(wèn)題，減少了模型參數(shù)，又加強(qiáng)了特征傳遞。在提高模型準(zhǔn)確率方面，同時(shí)探索了計(jì)算機(jī)視覺(jué)中的通道域注意力機(jī)制，發(fā)現(xiàn)該機(jī)制通過(guò)為特征通道分配不同的權(quán)重，能夠?qū)阂獯aRGB圖像紋理特征的關(guān)鍵信息進(jìn)行增強(qiáng)，進(jìn)而提高原有模型的檢測(cè)效果。在減少模型復(fù)雜度方面，使用輕量化Ghost模塊對(duì)Dense Block的卷積層進(jìn)行重構(gòu)，減少了參數(shù)量，壓縮了模型體積。實(shí)驗(yàn)結(jié)果表明，本文提出的方法在提高惡意代碼家族檢測(cè)精度的同時(shí)，又能減少參數(shù)量，降低模型復(fù)雜度，一定程度上解決了大批量惡意代碼檢測(cè)過(guò)程中的資源浪費(fèi)問(wèn)題。但本文方法還存在一定不足，模型訓(xùn)練時(shí)內(nèi)存開(kāi)銷(xiāo)太大，后續(xù)工作將進(jìn)一步研究保證模型檢測(cè)精度與計(jì)算參數(shù)的同時(shí)，較少的模型內(nèi)存開(kāi)銷(xiāo)使其能更好地部署在資源有限的移動(dòng)端上。