摘要
随着物联网（IoT）生态系统的不断发展，恶意软件的传播问题日益严重，因此需要能够在IoT设备上运行的精确、高效的检测系统。现有的静态分析方法由于原始操作码特征的高维度导致计算效率低下而常常失效。本研究提出了一种基于机器学习（ML）的智能混合特征选择（IHFS）框架，该框架采用了两种不同的架构来克服这一限制。IHFS1结合了过滤方法（方差阈值）和嵌入方法（LGBM特征重要性）；而IHFS2则将方差阈值与包装方法（使用LGBM的递归特征消除与交叉验证）相结合，以实现最优的特征选择。该框架专门用于从ARM二进制文件中提取的1183个操作码频率向量中选择出一个既稳定又最小的特征子集。将这一框架应用于多家族IoT恶意软件数据集后，IHFS架构分别获得了显著且高效的特征子集：IHFS1将特征数量减少了95.77%（剩余50个特征），IHFS2则减少了98.06%（剩余23个特征）。通过对八种机器学习模型的评估发现，使用IHFS1特征子集的随机森林（Random Forest）和决策树（Decision Tree）分类器的性能最佳，其分类指标优于当前最先进的解决方案。其中，决策树模型的检测能力尤为突出，准确率为99.87%，精确率为99.82%，召回率为99.88%，F1分数为99.85%，平均推理时间为每个样本0.058毫秒。在原生ARM64环境下的实验结果验证了该系统在资源受限的IoT设备（如Raspberry Pi）上的可行性。该系统能够在保持主机运行稳定性的同时实现高吞吐量和低开销的安全防护，处理单个ELF二进制文件仅需3.431毫秒。
