科技通报 第２９卷第ｌＯ期 Ｖｏｌ＿２９ Ｎｏ．１０ ２０１３年１Ｏ月 ＢＵＬＬＥＴＩＮ ０Ｆ ＳＣＩＥＮＣＥ ＡＮＤ ＴＥＣＨＮＯＬ０ＧＹ ０ｃｔ．２０１３ 机器学习应用于恶意代码检测的研究 史晓红 ，张艳宜 （１．江西旅游商贸职业学院，南昌３３０１００；２．江西昌大高科信息产业有限公司，南昌３３００９６） 摘要：在新开发的系统被部署应用之前，恶意代码检测成为非常重要的一个环节，同时也是很大的 一个挑战。本文中，采用机器学习，发现系统的实现结构，包含设计中的正常功能以及隐藏存在的恶意 行为。通常情况下，带有机器学习的出版的系统被认为是完全确定的。但是实际的系统经常是不确定 的，而且流行的算法并不适用。本文设计了针对不完全确定系统的广义并且高效的机器学习算法，来检 验恶意代码的植入。并进一步延伸机器学习的结果，从一个近似的模型开始，比已知的算法更有效的学 习一个实现的结构。实验表明本文的算法更有效地检测恶意植入行为。 关键词：机器学习；恶意代码；不完全确定系统 中图分类号：ＴＰ２７３＊．２２ 文献标识码：Ａ 文章编号：１００１—７１１９（２０１３）１０—００２１—０３ Ｒｅｓｅａｒｃｈ ｏｎ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ａｐｐｌｉｅｄ ｔｏ ｔｈｅ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｍａｌｉｃｉｏｕｓ Ｃｏｄｅ Ｓｈｉ Ｘｉａｏｈｏｎｇ ，Ｚｈａｎｇ Ｙａｎｙｉ （１．Ｊｉａｎｇｘｉ Ｔｏｕｒｉｓｍ＆Ｃｏｍｍｅｒｃｅ Ｖｏｃａｔｉｏｎａｌ Ｃｏｌｌｅｇｅ，Ｎａｎｃｈａｎｇ ３３０１００，Ｃｈｉｎａ；２．Ｊｉａｎｇｘｉ Ｃｈａｎｇ－Ｄａ Ｈｉｇｈ－Ｔｅｃｈ Ｉｎｆｏｒｍａｔｉｏｎ Ｉｎｄｕｓｔｒｙ Ｃｏ．，Ｌｔｄ，Ｎａｎｃｈａｎｇ ３３００９６，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｂｅｆｏｒｅ ｔｈｅ ｎｅｗ ｄｅｖｅｌｏｐｅｄ ｓｙｓｔｅｍ ｉｓ ｄｅｐｌｏｙｅｄ，ｍａｌｉｃｉｏｕｓ ｃｏｄｅ ｄｅｔｅｃｔｉｏｎ ｈａｓ ｂｅｃｏｍｅ ｖｅｒｙ ｉｍｐｏｒｔａｎｔ，ａｎｄ ａ ｇｒｅａｔ ｃｈａｌｌｅｎｇｅ．Ｉｎ ｔｈｉｓ ｐａｐｅｒ，ｔｈｅ ｕｓｅ ｏｆ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ，ａｎｄ ｆｏｕｎｄ ｔｈｅ ｓｙｓｔｅｍ ｔｏ ａｃｈｉｅｖｅ ｓｔｒｕｃｔｕｒｅ ｃｏｎｔａｉｎｓ ｔｈｅ ｎｏｒｍａｌ ｆｕｎｃｔｉｏｎ ｏｆ ｔｈｅ ｄｅｓｉｇｎ ａｓ ｗｅｌｌ ａｓ ｔｏ ｈｉｄｅ ｔｈｅ ｐｒｅｓｅｎｃｅ ｏｆ ｍａｌｉｃｉｏｕｓ ｂｅｈａｖｉｏｒ．Ｕｎｄｅｒ ｎｏｒｍａｌ ｃｉｒｃｕｍｓｔａｎｃｅｓ，ｓｙｓｔｅｍ ｗｉｔｈ ｔｈｅ ｐｕｂｌｉｃ，ｉｏｎ ｏｆ ｔｈｅ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ ｉｓ ｃｏｍｐｌｅｔｅｌｙ ｓｐｅｃｉｆｉｅｄ．Ｂｕｔ ｏｆｔｅｎ ｔｈｅ ａｃｔｕａｌ ｓｙｓｔｅｍ ｉｓ ｎｏｔ ｓｐｅｃｉｉｆｅｄ，ｂｕｔ ｐｏｐｕｌａｒ ａｌ— ｇｏｒｉｔｈｍ ｄｏｅｓ ｎｏｔ ａｐｐｌｙ．Ｗｅ ｄｅｓｉｇｎ ａｎｄ ｅｆｆｉｃｉｅｎｔ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ ａｌｇｏｒｉｔｈｍ ｆｏｒ ｎｏｔ ｆｕｌｌｙ ｓｐｅｃｉｆｉｅｄ ｓｙｓｔｅｍ ｏｆ ｇｅｎｅｒａｌｉｚｅｄ， ｔｏ ｔｅｓｔ ｔｈｅ ｉｍｐｌａｎｔ ｍａｌｉｃｉｏｕｓ ｃｏｄｅ．Ａｎｄ ｆｕｒｔｈｅｒ ｅｘｔｅｎｓｉｏｎ ｏｆ ｔｈｅ ｒｅｓｕｌｔｓ ｏｆ ｔｈｅ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ，ｆｒｏｍ ａｎ ａｐｐｒｏｘｉｍａｔｅ ｍｏｄｅｌ，ｔｈｅ ｍｏｒｅ ｅｆｆｅｃｔｉｖｅ ｔｈａｎ ｔｈｅ ｋｎｏｗｎ ａｌｇｏｒｉｈｔｍｓ ｔｏ ａｃｈｉｅｖｅ ｔｈｅ ｓｔｒｕｃｔｕｒｅ ｏｆ ｌｅａｒｎｉｎｇ．Ｔｈｅ ｅｘｐｅｒｉｍｅｎｔｓ ｓｈｏｗ ｔｈａｔ ｏｕｒ ｌａｇｏｒｉｈｔｍ ｉｓ ｍｏｒｅ ｅｆｆｅｃｔｉｖｅ ａｔ ｄｅｔｅｃｔｉｎｇ ｍａｌｉｃｉｏｕｓ ｉｍｐｌａｎｔｅｄ ｂｅｈａｖｉｏｒ． Ｋｅｙ ｗｏｒｄｓ：ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ；ｍａｌｉｃｉｏｕｓ ｃｏｄｅ ｄｏｅｓ ｎｏｔ ｃｏｍｐｌｅｔｅｌｙ ｉｄｅｎｔｉｆｙ ｔｈｅ ｓｙｓｔｅｍ ０ 引言 的一部分。 发现协议行为模型的第一步是获得输入输出的字 ＵｎｒｅａＵＲＣｄ是开源的ＩＲＣ服务器。２００９年１ １月Ｕｎ— 母表。许多研究都集中在逆向工程的黑盒二进制消息 ｒｅａｌｌＲＣｄ３．２．８．１在某些镜像点更换一个新的带有后门 格式［１】。在本文中，假定Ｉ／Ｏ字母表示已知的，包括黑盒 的版本。后门允许远程攻击者拥有很高的用户权限，可 子中系统正常和恶意行为的输入表。任何不属于正常 以在ＩＲＣＪ］Ｉ￣务器上执行任意系统命令。恶意代码直到 的协议执行的输入都意味着黑盒子中存在非正常行 数月以后才被检测到。它促使本文研究以下问题：在部 为。有时，输入输出表是正常输入输出表的一个子集。 署任意协议之前，需要检测是否有任何恶意代码植入， 例如，一个ＭＳＮ客户端消息群发器，可以发送随机消息 植入的恶意代码的目的以及功能是什么。为了解决这 到联系人而不会产生任何非正常的ＭＳＮ消息。在这种 一问题，建立了一个模型来描述协议的执行行为。检查 情况下，不能仅仅通过逆向工程输入信息的格式来确 模型可以检查到嵌入的恶意功能，这是整个行为模式 定是否有恶意代码的嵌入，这是需要构建一个黑盒子 收稿日期：２０１２—１１－０６ 作者简介：史晓红（１９６６一），女，南昌人，硕士，教授，主要研究方向：信息技术、高职教育。 ２２ 科技通报 第２９卷 入序列中，训练器相应目标所产生的相应输出序列。 （２）反例：训练器生成一个输入序列产生不同的输出目 ＣＨＬ／ＱＲＹＭＳＧ 标。反例用来纠正并计算下一步的猜想，直到训练器证 实了这一猜想的目标是相同的。 图１带消息群发器的ＭＳＮ客户端状态 Ｆｉｇ．１ Ｔｈｅ ＭＳＮ ｃｌｉｅｎｔ ｓｔａｔｅ ｗｉｔｈ ｍａｓｓ ｍｅｓｓａｇｅ １．３本文中的算法 给定一个协议：Ｂ＝Ｂｏ＋Ｂ 。其中一Ｂ是正常运行的协 议执行，Ｂ 是恶意功能，隐藏在协议执行内，及输入输 出字母表。需要确定Ｂ 的功能。除了输入输出字母表， 也可以拥有Ｂ。的规范。例如，被入侵的ＩＲＣ Ｊ］￣务器，Ｂ。 ＱＲＹ 圈２不带消息群发器的ＭＳＮ客户端的状态 Ｆｉｇ．２ Ｗｉｔｈ ｎｏ ｎｅｗｓ ｏｆ ｍａｓｓ ＭＳＮ ｃｌｉｅｎｔ ｓｔａｔｅ 行为模型的原因。 通过已知的输入字母表，需要合成一个协议实施 的行为模型。主动和被动的模型算法【２堵５将被采用。考 虑到系统的不完全确定行为，利用扩展￡ 和 ［３１来学 习不完整的有限状态机 。 １相关算法 本文在算法中描述了一个形式化模型。 １．１形式化模型 一个有限状态机（ＦＳＭ） 是一个五元组： Ｍ＝（ＬＯ，Ｑ，６，Ａ） 其中，，，０和Ｑ是有限的非空输入符号集合，输出 符号集合和状态集合。６是状态转换函数，Ａ是输出函 数。 当机器处于状态Ｑ中的ｑ，并接收到从集合舛 传递 过来的输入，它移动到下一个状态８（ｑ， ，并产生１￣８（ｑ， 生成的输出。一个有限状态机，如果任何输入下有特 定的状态和确定的输出，那它在每一个状态的时候是 完全确定的。否则，它是一个不完全确定的有限状态机 （ＩＳＦＳＭ），即在某些状态下的某些输入，下一状态或输 出时不确定的。 １．２ Ａｎｇｌｕｉｎ学习算法 Ａｎｇｌｕｉｎ的￡ 算法是经典的监督自动学习过程。 修正了 算法的完全确定ＦＳＭ。 。包含了观察表 Ｅ 来表示当前推测的ＦＳＭ，嗉示有限状态的输入，到 输出Ｏ＊ｏＳ和Ｅ代表目前的推测状态和分离序列。开始时 Ｓ和Ｅ均初始化为空。 和 算法都假设有足够的并且最小的训练器能 够满足如下两种类型的查询。（１）输出查询：给定的输 是正常的ＩＲｃ服务器功能。Ｂ 是植入的后门。确定的 ＩＲＣ Ｊ］￣务器尬ｌ可能是可得的。眠是一个良好的开端，当 试图合成日的ＦＳＭ。尬不一定和 旧同，因为规范和实 施之间可能存在差异，在本文方法中，并不需要 和Ｂ。 相同，在学习过程中可以借鉴 纠正 。 ２ 算法介绍 本文首先讨论观察表的修正，修改一致性和封闭 性的定义来适应本文中的算法。并能确保本算法可以 正确的表示最小的ＦＳＭ，并且功能一致。 首先给出观察表（５，Ｅ 的以下定义： 定义１：给定的字符串 和Ｙ， 和ｙ串联表示为 ・Ｙ。 定义２：给定的字符串ｓ和ｔ，ｓ是￡的前缀，公式 表 示ｔ删除前缀ｓ后的字符串，因此有ｙ ・ 。 定义３：Ｃ＝｛ｓ・ａｌａ∈，｝ 定义４：如果对于ｔ∈（Ｊｓｕｃ）以及ｓ Ｓ，存在ｒｏｗ（ｔ）＝ ｒｏｗ（ｓ），观察表被关闭。 定义５：如果Ｓ中的元素ｓ 和 ｒｏｗ（ｓ。）＝ｒ０ （ｓ２），观 察表是一致的。 其中，观察表 Ｅ，７９仍然代表了最小的ＦＳＭ。 给定一个协议的实现，Ｂ＝Ｂｏ＋Ｂ＇ｏ需要合成ＦＳＭ Ｂ ， 如果没有风和眠的近似模型。可以按照一个空的观察 表开始并逐步完善，通过参考文献［５】叶 ，最终获得 的 ＦＳＭ。如果有 ，先构造一个观察表 代表 ，然后开始 学习的过程，而不是一个空观察表，下面介绍如何将一 个有限状态机的程序变换到观察表。 输入：ＦＳＭ Ｍｏ，初始状态为ｑ。 输出：代表眠的观察表 １．ｆｏｒ ｅａｃｈ ｓｔａｔｅ ｑ ｉｎ Ｍｏ ２．ｓｅｑ ｉｎｐｕｔ ｓｅｑｕｅｎｃｅ ｔｈａｔ ｂｒｉｎｇｓ Ｍｏ ｆｒｏｍ ｑ０ ｔｏ ｑ ３．ａｄｄ ｓｅｑ ａｓ ａ ｒｏｗ ｏｆ ４．ｆｏｒ ｅａｃｈ ａ∈， ５．ｉｆ ｓｅｑ．ａ ｉｓ ｄｅｆｉｎｅｄ（ｏｕｔｐｕｔ ｑｕｅｒｙ） ６．ａｄｄ ｓｅｑ．ａ ａｓ ａ ｒｏｗ ｏｆ Ｔｏ ７．ＳＳ＝ｓｅｐａｒａｔｉｎｇ ｓｅｑｕｅｎｃｅｓ ｏｆ眠 ８．ｆｏｒ ｅａｃｈ ｓｅｑ ｉｎ ＳＳ 第ｌ０期 史晓红等．机器学习应用于恶意代码检测的研究 ９．ａｄｄ ｓｅｑ ａｓ ａ ｃｏｌｕｍｎ ｏｆ Ｔｏ １０．ｆｏｒ ｅａｃｈ ｃｏｌｕｍｎ ｅ ｉｎ Ｔｏ １１．ｆｏｒ ｅａｃｈ ｒｏｗ ｓ ｉｎ Ｔｏ １２．ｓｅｑｌ＝ａｓｋ ｔｒａｉｎｅｒ ｏｕｔｐｕｔ ｑｕｅｒｙ ｏｆ Ｓ １３．ｓｅｑ２＝ａｓｋ ｔｒａｉｎｅｒ ｏｕｔｐｕｔ ｑｕｅｒｙ ｏｆ Ｓ’ｅ 息，而带有消息群发器的ＭＳＮ客户端将回应多种ＣＨＬ 消息。 ３ 结论 本文定义了一种通用机器学习算法来检测系统执 行中的恶意代码。执行程序已经成功的检测到ＭＳＮ客 户端消息群发器中的后门。目前正在将应用来自动地 检测更多系统中植入的恶意代码。 １４．ｃｏｌｕｍｎ ｅ ｒｏｗ ｓ ｏｆ Ｔｏ＝ｓｅｑ２＼ｓｅｑｌ 其中，在算法的５行，１２行和１３行查询训练器，而不 是查询给定的ＦＳＭ Ｍ０来填满死。原因主要有，眠可能 不会是正确由于规范和实现之间的差异，通过训练器 可以纠正眠。其次，眠可能比 有更多的状态。为了算 法的终止与正确的推测，必须使得观察表的行数不超 过 。 参考文献： ［１】Ｐｒｏｖｏｓ Ｎ，ＭｃＮａｍｅｅ Ｄ，Ｍａｖｒｏｍｍａｔｉｓ Ｐ，Ｗａｎｇ Ｋ ａｎｄ Ｍｏｄａｄｕｇｕ Ｎ．Ｔｈｅ Ｇｈｏｓｔ ｉｎ ｔｈｅ Ｂｒｏｗｓｅｒ：Ａｎａｌｙｓｉｓ ｏｆ 假设日 有ｎ个状态，一旦初始化观察表有ｍ个状 态，ｍ＜．ｔｉ。可以保证本文的算法最后是终止的。基本思 想为每当新增一个新的行或者列，至少增加一行，但不 Ｗｅｂ？ｂａｓｅｄ Ｍａｌｗａｒｅ．【Ｃ】，仃ｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００７ Ｗｏｒｋｓｈｏｐ ｏｎ Ｈｏｔ Ｔｏｐｉｃｓ ｉｎ Ｕｎｄｅｒｓｔａｎｄｉｎｇ Ｂｏｔｎｅｔｓ（Ｈｏｔ－ Ｂｏｔｓ）． ［２】 Ｑａｔｔａｎ Ｆ，Ｔｈｅｒｎｅｌｉｕｓ Ｆ．Ｄｅｆｉｃｉｅｎｃｉｅｓ ｉｎ Ｃｕｒｒｅｎｔ Ｓｏｆｔｗａｒｅ Ｐｒｏｔｅｃｔｉｏｎ Ｍｅｃｈａｎｉｓｍｓ ａｎｄ Ａｈｅｍａｔｉｖｅｓ ｆｏｒ Ｓｅｃｕｒｉｎｇ 能超过ｎ—ｍ，这样就能保证本文的算法是可终止的。 将算法应用于实验，一个带有消息群发器功能的 ＭＳＮ客户端，它的恶意功能不引入任何额外的不正常 的ＭＳＮ消息的输入或输出符号。 消息群发器向联系人列表的人连续发送随机文本 消息，而两条消息之间有一定的时间间隔。 图１和图２分别是带消息群发器和不带消息群发器 的ＭＳＮ客户端的算法状态图。需要注意的是，图１和图２ 只显示算法的用户登录后的空闲阶段，且在用户起始 Ｃｏｍｐｕｔｅｒ Ｉｎｔｅｇｒｉｔｙ【Ｄ】．Ｍａｓｔｅｒ ｔｈｅｓｉｓ，Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｒｎ— ｐｕｔｅｒ ａｎｄ Ｓｙｓｔｅｍｓ Ｓｃｉｅｎｃｅｓ Ｓｔｏｃｋｈｏｌｍ Ｕｎｉｖｅｒｓｉｔｙ—Ｒｏｙａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ． ［３】 王霞．一种基于模糊距离的网络通讯协议优化策略［Ｊ１ ．科技通报，２０１３，２９（４）：９４—９６． ［４］Ｄ ｅｅ Ｌａｎｄ Ｍ Ｙａｎｎａｋａｋｉｓ．Ｐｒｉｎｃｉｐｌｅｓ ａｎｄ Ｍｅｔｈｏｄｓ ｏｆ ｓｔ— ｉｎｇ Ｆｉｎｉｔｅ Ｓｔａｔｅ Ｍａｃｈｉｎｅｓ—Ａ ｓｕｒｖｅｙ，［Ｃ］＃Ｐｒｏｃ．ＩＥＥＥ， １９９６：１０９０—１ｌ２３． 状态之前用户没有和其它用户有过消息来往。通常情 况下，在图２中本来不应该有任何文本消息被发送。消 息群发器会导致ＭＳＮ客户端发送文本消息。消息群发 ［５】Ｄ Ａｎｇｌｕｉｎ．Ｌｅａｒｎｉｎｇ Ｒｅｇｕｌａｒ Ｓｅｔｓ ｆｒｏｍ Ｑｕｅｒｉｅｓ ａｎｄ Ｃｏｕｎ— ｔｅｒｅｘａｍｐｌｅｓ【Ｊ］．Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｐｕｔａｔｉｏｎ ７５，１９８７： ８７－】０６． 器改变了ＭＳＮ客户端的行为。不带有消息群发器的 ＭＳＮ客户端将仅仅回应第一个在空闲状态的ＣＨＬ消 （上接第２０页） 理与访问，同时便于部署与实施阁。 ｉｎｇ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌｓ【Ｃ］／／Ｓｅｅｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， １９９９．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １９９９ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｐｕｂ— ｌｉｃａｔｉｏｎ Ｙｅａｒ．１９９９：１２０—１３２． ３结论 本文分析了聚类、分类、关联规则等在ＩＤＳ中常用 （３］ 宋淑彩．面向Ｗｅｂ的数据挖掘技术在网站优化中的个 性化推荐方法的研究与应用［Ｊ】．科技通报，２０１２，２８（２）： ｌ１８—１１９． 的数据挖掘算法，并介绍了ＤＡＩＤ这种以数据库为中心 的数据挖掘体系架构模型，对其数据处理过程进行展 现，进一步保证了数据库的安全性。 ［４１ Ｗｅｎｋｅ Ｌｅｅ，Ｓｔｏｌｆｏ Ｓ Ｃｈａｎ Ｐ Ｋ．Ｒｅａｌ ｔｉｍｅ ｄａｔａ ｍｉｎｉｎｇ— ｂａｓｅｄ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ【Ｃ］／／Ｐａｔｔｅｍ Ｒｅｃｏｇｎｉｔｉｏｎ，Ｉｎｆｏｒ— ｍａｔｉｃｓ ａｎｄ Ｍｅｄｉｃａｌ Ｅｎｇｉｎｅｅｉｒｎｇ（ＰＲＩＭＥ），２０１２ Ｉｎｔｅｒｎａ－ ｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ．Ｐｕｂｌｉｃａｔｉｏｎ Ｙｅａｒ．２０ｏ１：８９一ｌｏｏ． 参考文献： ［１】 Ｍｉｎｇ Ｘｕｅ，Ｃｈａｎｇｊｕｎ Ｚｈｕ．Ａｐｐｌｉｅｄ Ｒｅｓｅａｒｃｈ ｏｎ Ｄａｔａ Ｍｉｎ－ ｉｎｇ Ａｌｇｏｒｉｔｈｍ ｉｎ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ［Ｃ］／／Ａｒｔｉｉｆｃｉｌａ Ｉｎｔｅｌｌｉｇｅｎｃｅ．２００９．ＪＣＡＩ＂０９．Ｉｎｔｅｒｎａｔｉｏｎａ１ Ｊｏｉｎｔ Ｃｏｎｆｅ卜 ｅｎｃｅ ｏｎ．Ｐｕｂｌｉｃａｔｉｏｎ Ｙｅａｒ，２００９：２７５—２７７． ［５］ Ｃａｍｐｏｓ Ｍ Ｍ，Ｍｉｌｅｎｏｖａ Ｂ Ｌ．Ｃｒｅａｔｉｏｎ ａｎｄ ｄｅｐｌｏｙｍｅｎｔ ｏｆ ｄａｔａ ｍｉｎｉｎｇ－ｂａｓｅｄ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍｓ ｉｎ Ｏｒａｃｌｅ Ｄａｔａｂａｓｅ １０ｇ［Ｃ］／／Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ， ２００５．Ｐｒｏｃｅｅｄｉｎｇｓ．Ｆｏｕｒｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ． Ｐｕｂｌｉｃａｔｉｏｎ Ｙｅａｒ，２００５． － Ｊ 【２】 Ｗｅｎｋｅ Ｌｅｅ，Ｓｔｏｌｆｏ Ｓ Ｊ．Ａ ｄａｔａ ｍｉｎｉｎｇ ｆｒａｍｅｗｏｒｋ ｆｏｒ ｂｕｉｌｄ一
