Bonomo31/multi_scale_api_malware_detection

# 多尺度 API 恶意软件检测基准 本仓库包含一个可复现的实验流程，用于一篇关于从 API 调用序列中进行高效恶意软件检测的 IEEE 风格会议论文草稿。 ## 核心思想 论文应展示**一个提出的模型系列**： ``` Multi-scale CNN Embedding for API-call sequence malware detection ``` 其他所有内容均用于对比： - **经典基线：** RandomForest, ExtraTrees, XGBoost, CatBoost, TF-IDF Logistic Regression。 - **受控 CNN 消融实验：** 通道数、嵌入大小、dropout、focal loss。 - **次要消融实验：** 混合 CNN + BiGRU + Attention。 这使得仓库和论文叙述保持清晰：一个提出的方法，强大的基线，受控的消融实验。 ## 数据集 1. **API-Call-Sequences** - 直接目标：Cannarile 等人 2022，*Applied Sciences*。 - 输入协议：`t_0 ... t_99`。 - 参考最佳 macro-F1：CatBoost `0.8770`。 2. **MalbehavD-V1** - 相关目标：MalDetConv / GRU-GAN 风格的 API 序列基准。 - 输入协议：有序 API 列 `0, 1, 2, ...`。 - 参考准确率：MalDetConv 约 `0.9610`。 ## 文件夹结构 ``` multi_scale_api_malware_detection/ README.md RUN_FINAL_PAPER.md RESULTS.md requirements.txt multiscale_full_pipeline_colab.ipynb src/ config.py datasets.py metrics.py models.py training.py scripts/ check_datasets.py run_ml_baselines.py run_cnn_embedding.py run_hybrid_bigru_attention.py run_cnn_ablation.py build_summary.py make_figures.py results/ raw/ summary/ figures/ paper_notes/ references_and_targets.md ``` ## 最终论文运行 从仓库根目录运行。 ``` pip install -r requirements.txt ``` ``` python scripts/check_datasets.py --dataset all --max-len 100 ``` ``` python scripts/run_ml_baselines.py --dataset all --folds 10 --max-len 100 ``` ``` python scripts/run_cnn_embedding.py --dataset all --folds 10 --deep-folds 10 --epochs 25 --max-len 100 ``` ``` python scripts/run_hybrid_bigru_attention.py --dataset all --folds 10 --deep-folds 10 --epochs 25 --max-len 100 ``` ``` python scripts/run_cnn_ablation.py --dataset all --folds 10 --deep-folds 10 --epochs 25 --max-len 100 ``` ``` python scripts/build_summary.py ``` ``` python scripts/make_figures.py ``` 有关简要清单，请参阅 [RUN_FINAL_PAPER.md](RUN_FINAL_PAPER.md)。 ## Colab 使用单个 notebook： ``` multiscale_full_pipeline_colab.ipynb ``` 该 notebook 会执行相同的脚本，然后展示汇总表格和图表。 ## 结果 官方生成的 CSV 文件： ``` results/raw/ml_baselines.csv results/raw/cnn_embedding.csv results/raw/hybrid_bigru_attention.csv results/raw/cnn_ablation.csv results/summary/all_results.csv results/summary/summary.csv ``` 生成的图表： ``` results/figures/ ``` 有关当前结果的解释，请参阅 [RESULTS.md](RESULTS.md)。 ## 当前声明方向 - 在 API-Call-Sequences 上，最佳的 CNN 配置优于 Cannarile 等人 2022 的 CatBoost macro-F1。 - 在 MalbehavD-V1 上，CNN 嵌入模型凭借简单高效的架构达到了 MalDetConv 级别的性能。 - 消融实验结果表明，增加 CNN 通道容量有助于改善在不平衡的 API-Call-Sequences 数据集上的表现，而基础的 CNN 仍然是效率与性能之间强有力的折中方案。 ## 声明边界 - 仅针对此处包含的数据集进行直接比较声明。 - API-Call-Sequences 的比较是在相同的 `t_0 ... t_99` 特征协议下与 Cannarile 等人进行的直接比较。 - MalbehavD-V1 的比较是相关的，因为数据集是共享的，但具体的预处理/协议可能与 MalDetConv 不同。

标签：Apex, API调用分析, 凭据扫描, 机器学习, 深度学习, 自定义DNS解析器, 逆向工具