Như đã đề cập trong phần 1.3.3, có rất nhiều hướng tiếp cận cho phương pháp lai trong phát hiện mã độc dựa trên việc tích hợp rất nhiều các đặc trưng được trích xuất từ đặc điểm của tệp tin như Opcodes, chuỗi các ký tự, v.v... Tuy nhiên, cũng cần phải tính đến ảnh hưởng của những đặc trưng đó tới độ chính xác trong phát hiện mã độc. Rất nhiều loại đặc trưng được xây dựng dựa trên chính bản chất của mã độc để chúng có thể được đánh giá một cách toàn diện và hạn chế phát hiện sai. Dù vậy, khi tổng hợp lại tất cả các đặc trưng đó để phân loại thì chúng chưa hẳn đã có thể phát huy được hết mức. Trên thực tế, việc kết nhiều mức độ nhiễu khác nhau và sự xung đột dữ liệu khiến cho độ chính xác của phương pháp giảm xuống là điều hoàn toàn có thể xảy ra. Vì lý do đó, luận văn đã lựa chọn việc giới hạn chỉ kết hợp hai đặc trưng của tập tin thực thi ELF là đồ thị thông tin chuỗi in PSI và đồ thị lời gọi hệ thống SCG. Các đồ thị đặc trưng này đã được chuyển hóa thành hai tập vector đặc trưng tiêu biểu cho hai phương pháp tĩnh và động. Hai tập này có sự tương đồng về không gian vector do đều được chuyển hóa thông qua thuật toán graph2vec.
Như vậy, phương pháp tích hợp hai tập đặc trưng này cần đảm bảo sự đơn giản về dữ liệu, tránh nhiễu và tối ưu thời gian tính toán.
Trong các hướng tích hợp vector đặc trưng, có ba hướng tiếp cận có thể kết hợp các loại vector đặc trưng là kết quả của những quá trình phân tích khác nhau, bao gồm: Early fusion, Late fusion và Intermediate fusion [9].
- Early fusion là phương pháp kết hợp được thực hiện ở mức đặc trưng. Các vector từ nhiều tập đặc trưng khác nhau được nối lần lượt với nhau thành một vector đặc trưng lớn, và sau đó được sử dụng làm đầu vào cho thuật toán phân loại.
- Late fusion là dạng kết hợp được thực hiện sau đối với đầu ra của thuật toán phân loại đối với từng tập vector đặc trưng là đầu vào. Phương pháp này huấn luyện từng tập vector đặc trưng riêng lẻ với từng mô hình phân loại riêng, sau đó hợp nhất các quyết định đầu ra thông qua các cơ chế hợp nhất như: bỏ phiếu, lấy giá trị cao nhất, lấy giá trị trung bình cao nhất,… Ưu điểm của phương pháp late fusion là lựa chọn được mô hình phân loại phù hợp cho từng tập vector đặc trưng riêng.
- Intermediate fusion là phương pháp xây dựng tập vector đặc trưng bằng cách hợp nhất các vector đặc trưng thông qua một mạng học sâu đơn giản và thực hiện phân loại.
Trong ba hướng tiếp cận, phương pháp Intermediate fusion sử dụng mạng học sâu để phân loại, phương pháp Late fusion thì lại phù hợp hơn trong trường hợp các vector đặc trưng các sự khác biệt rõ ràng và không tương đồng về không gian vector. Do đó hai phương pháp này không phù hợp cho tích hợp các đặc trưng tĩnh và động để cải thiện độ chính xác trong phân loại của từng phương pháp tĩnh và động riêng lẻ. Vì vậy, luận văn đã lựa chọn sử dụng phương pháp Early fusion để kết hợp hai tập vector đặc trưng tĩnh và động. Do vector đặc trưng kết hợp chỉ cấu thành từ hai loại đặc trưng nên vẫn sẽ tránh được nhiễu và đảm bảo thời gian huấn luyện và phân loại ngắn. Đồng thời, với việc vận dụng thuật toán phân loại hợp lý vẫn sẽ có thể cho ra kết quả phát hiện với độ chính xác cao [25].