面向基于 CPU 功耗的恶意软件检测：数据收集设计与分析（扩展版）

本文提出了一种实验设计与数据分析方法，旨在实现通用计算机上基于功耗的恶意软件检测。利用恶意软件执行必然消耗功耗这一事实，我们探索了可通过功耗数据分析准确检测恶意软件的假设。我们的实验设计与实现允许在使用五种不同 rootkit 的非感染和感染状态下，以编程方式收集固定任务的 CPU 功耗剖面。为刻画功耗剖面，我们同时使用简单统计特征和新颖的复杂特征。我们测试了一类单类异常检测集成（以非感染功耗剖面为基线）和几种基于核的 SVM 分类器（在非感染和感染剖面上训练），以检测先前未见过的恶意软件和干净剖面。异常检测系统在使用所有特征和任务时表现出完美检测，且误检率低于有监督分类器。主要贡献是概念验证：固定任务的功耗基线可提供对 rootkit 的准确检测。此外，我们的处理展示了实验所需的工程障碍，并允许对每个统计特征单独分析。该工作似乎是通向通用计算机可行基于功耗检测能力的第一步，并提出了实现此目标的后续步骤。