Сочинение на тему Классификация вредоносных программ с использованием машинного обучения

Вредоносное ПО обычно является головной болью почти на всех мобильных телефонах, ноутбуках, картах памяти и т. д. Наиболее распространенным методом, используемым вредоносным ПО для предотвращения обнаружения, является двоичное запутывание либо с помощью шифрования. Одним из методов, используемых вредоносным ПО для избежания обнаружения, является двоичная обфускация либо шифрованием (полиморфизм), либо метаморфическими атаками (другой код для одной и той же функциональности). Для их быстрого и эффективного обнаружения мы должны сгруппировать их в соответствии с их семьей. Это вызывает растущую потребность в автоматизированной, самообучающейся, быстрой и эффективной технике, которая будет устойчива к этим атакам. В этой статье мы только собирались классифицировать вредоносные программы по их соответствующим семействам и не обнаруживать их (определить, являются ли они вредоносными программами или нет). Критерий 500 отсчетов наблюдаемого значения должен быть выбран для нашего набора классов данных, который будет использоваться нашими алгоритмами машинного обучения. В этой статье мы сфокусируемся на новых методах визуализации данных, таких как представление изображений вредоносных программ и классификация на основе искусственных нейронных сетей и K-Nearest Neighbor.

Анализ вредоносных программ обычно выполняется как «Статический анализ», «Динамический анализ», а также «на основе сигнатур». При статическом анализе файлы кода дизассемблирования анализируются на наличие вредоносных системных вызовов. Модель должна быть построена для потоковых графиков управления. Принимая во внимание, что в методике динамического анализа вредоносных программ данные анализируются в контролируемой среде, а также отслеживаются (системные журналы). Этот упомянутый процесс является чрезвычайно медленным, а также ресурсоемким и длительным. Оба упомянутых метода работают хорошо, но статический анализ кода страдает от различий в реализации вредоносных программ, в то время как динамический анализ вредоносных программ ограничен средой и условиями запуска вредоносных программ, и, следовательно, также является масштабируемой опцией. Чтобы проанализировать сигнатуру вредоносного ПО, ее необходимо создать с использованием методов N-Gram. Разборка вредоносного ПО анализируется на большинство повторений операционных кодов, и N-Grams должны быть построены на основе этого.

Для визуализации данных мы используем методы визуализации вредоносных программ. Мы преобразуем каждый байт-код вредоносного ПО в изображение в градациях серого. Вредоносные программы из разных семей имеют сходство во внешнем виде, это основной принцип, которому следует следовать. Эти изображения должны использоваться для классификации на основе изображений. OPCODE рассчитывается по коду разборки.

Цель этой статьи – реализовать алгоритмы машинного обучения, чтобы классифицировать вредоносные программы по соответствующим семействам. Данные должны быть взяты с сайта www.kaggle.com, предоставленного Microsoft, содержащего 10868 образцов вредоносных программ, относящихся к 9 различным классам, а именно: файлы из девяти различных семейств вредоносных программ, а именно: Ramnit, Lollipop, Kelihos ver3, Vundo, Simda, Traceur, Kelihos. ver1, Obfuscator.ACY и Gatak соответственно. Целью здесь является анализ, визуализация вредоносных программ и предварительный анализ данных. Таким образом, цель состоит в том, чтобы разработать новую интегрированную модель, которая использует преимущества всех моделей.

Определение проблемы:

Была проделана большая работа по анализу вредоносных программ. Методы статического, динамического и сигнатурного анализа вредоносных программ были исследованы во многих статьях. Публикация, основанная на визуализации вредоносных программ на основе изображений, была одним из предпочтительных способов [1], в котором объясняется, как формировать изображение из двоичных файлов вредоносных программ, как визуализировать эти изображения. При альтернативном подходе для извлечения данных из кода разборки, который можно было использовать для классификации [2], точность данных была неоптимальной. В этой статье предлагается способ извлечения новых функций, основанных на N-граммах, разделах кода и последовательности кодов операций и вызовах DLL. Но даже прежде, чем мы сможем разработать сигнатуры для вредоносных программ, необходимо выполнить определенные задачи в рамках обнаружения и классификации вредоносных программ.

Связанная работа:

Была проделана большая работа по анализу вредоносных программ. Публикуются многие статьи, которые обозначают статические, динамические и сигнатурные методы анализа вредоносных программ. Публикация, основанная на визуализации вредоносных программ на основе изображений в качестве одного из предпочтительных способов [1]. В этой статье объясняется, как сформировать изображение из двоичных вредоносных файлов, как визуализировать эти изображения. Это машины используются для классификации на основе изображений. Мы также сослались на документ, в котором определяется, как извлечь данные из кода разборки, который можно использовать для классификации. [2] В этой статье предлагается способ извлечения новых функций, основанных на N-граммах, разделах кода и последовательности кодов операций и вызовах DLL. Но даже прежде, чем мы сможем разработать сигнатуры для вредоносных программ, необходимо выполнить определенные задачи в рамках обнаружения и классификации вредоносных программ.

Анализ. Мы изучили несколько статей, в которых используются те же принципы, что и у нас, для классификации вредоносных программ в их семейства. Было замечено, что в случае отсутствия данных модель многоуровневого восприятия и логическая регрессия хороши.

Были использованы методы визуализации изображений, которые в среднем обеспечивали точность прогнозирования 95% при использовании Deep Neural Network. Мы также обнаружили, что методология дает оптимальный результат по сравнению с другими доступными методами. Принимая во внимание, что основанная на машинном обучении классификация вредоносных программ для приложений Android, использующих мультимодальные представления изображений [3], немного медленная, когда дело доходит до обработки данных.

Предлагаемая методология:

Для анализа подписи подпись строится с использованием методов N-Gram. Демонтаж вредоносного ПО анализируется на большинство повторений операционных кодов, и N-Grams построены на этом.

Мы предлагаем использовать методы визуализации вредоносных программ. Мы стремимся преобразовать каждый вредоносный байт-код в изображение в градациях серого. В ходе исследований и анализа было обнаружено, что вредоносные программы из разных семейств имеют сходство во внешнем виде, что дает нам возможность использовать эту слабость. Эти вредоносные изображения будут использоваться для классификации изображений. Из кода дизассемблирования мы вычислим количество OP-CODE, DLL и количество секций из предоставленных кодов сборки. Для классификации вредоносных программ были использованы верхние функции, проанализированные из всех файлов сборки. Критерий 500 отсчетов наблюдаемого значения должен быть выбран для нашего набора классов данных, который будет использоваться нашими алгоритмами машинного обучения.