摘要
恶意软件分类越来越依赖结合静态与动态特征的机器学习模型，但其实际应用往往受到数据集不一致性、高维特征空间以及透明度不足的限制。本文提出了一种可解释的混合恶意软件分类方法，该方法基于一个经过处理的公共数据集，在该数据集中静态特征与动态特征在样本层面进行匹配，并且属于同一特征空间。该框架包含一个随机森林构成的静态分支、一个经过校准的XGBoost动态分支，以及一个加权后期融合阶段，其分支权重是根据内部验证的加权F1值而非测试性能来确定的。在经过修正的无泄漏基准测试中，静态特征压缩技术将静态特征数量从771个减少到258个，而稀疏 aggressive压缩技术则将动态特征数量从21,918个减少到374个。早期融合的XGBoost基线模型取得了最好的多类综合评分，而经过验证权重校准的混合模型则展现了最佳的“优先检测恶意软件”性能，其在测试集上的恶意软件识别率为0.9998，良性文件识别率为0.8053，仅出现1次误判。研究表明，一旦消除了数据泄漏问题且融合过程以验证结果为依据，最优的混合架构应取决于具体应用目标，而非单一的综合指标。
