Ανίχνευση κακόβουλων δυαδικών αρχείων με τη χρήση ευφυών τεχνικών

Abstract

Οι τεχνικές Μηχανικές Μάθησης διαδραματίζουν έναν ολοένα και μεγαλύτερο ρόλο στον τομέα της Ασφάλειας Υπολογιστών. Λόγω της δομής του προβλήματος, η μεγαλύτερη πρόκληση στην αναγνώριση κακόβουλου λογισμικού είναι η εξαγωγή ωφέλιμων και ισχυρών χαρακτηριστικών τα οποία θα είναι ικανά να εκπαιδεύσουν επαρκώς τους ταξινομητές για να βελτιώσουν την προβλεπτική τους ισχύ. Στην βιβλιογραφία υπάρχουν εργασίες που ακολουθούν κατά κύριο λόγο δυο βασικές προσεγγίσεις στην ανίχνευση και κατηγοριοποίηση κακόβουλου λογισμικού· στην πρώτη η έμφαση δίνεται στην εκπαίδευση βαθιών νευρωνικών δικτύων χωρίς χρήση εξειδικευμένης γνώσης του τομέα της Ασφάλειας των Υπολογιστών, ενώ στη δεύτερη εξάγονται χαρακτηριστικά με ιδιαίτερα έντονες υπολογιστικές απαιτήσεις.

Ωστόσο, η εκπαίδευση νευρωνικών δικτύων αποδεικνύεται ανεπαρκής στην αναγνώριση πολυμορφικού και μεταμορφικού λογισμικού, ενώ η εξαγωγή περίπλοκων χαρακτηριστικών καθιστά τα μοντέλα απαγορευτικά για εφαρμογές πραγματικού χρόνου. Στο πλαίσιο της εργασίας προτείνεται η εξαγωγή ενός συνόλου χαρακτηριστικών που είναι ικανά να αναδείξουν επαρκώς τις προθέσεις ενός εκτελέσιμου αρχείου, ενώ ταυτόχρονα η εξαγωγή τους γίνεται με αρκετά αποτελεσματικό τρόπο.

Παράλληλα, εξετάζονται διάφορα σύνολα χαρακτηριστικών πού έχουν προταθεί στη βιβλιογραφία και ενσωματώνονται πρωτότυπες προσθήκες που βελτιώνουν αισθητά την απόδοση των ταξινομητών. Αξιολογείται πρακτικά και σημασιολογικά το κέρδος πληροφορίας των συνόλων χαρακτηριστικών που εξάγονται και επιλέγονται τα τελικά χαρακτηριστικά μέσω ενός άπληστου αλγόριθμου πρόσθιας βηματικής επιλογής.

Στη συνέχεια αξιολογείται η επίδοση διάφορων μοντέλων επιβλεπόμενης μάθησης και δίνεται έμφαση σε εκείνα τα οποία εκπαιδεύονται μέσω κατασκευής δεντρικής δομής. Μετά από εκτενή ανάλυση της ολικής αρχιτεκτονικής μηχανικής μάθησης του προβλήματος προτείνεται το τελικό σύστημα, η αξιοπιστία του οποίου αποδεικνύεται με βάση κάποιες κρίσιμες μετρικές αξιολόγησης. Τέλος επιβεβαιώνεται ότι η εξαγωγή των προτεινόμενων χαρακτηριστικών είναι αρκετά αποδοτική ώστε να εφαρμοστεί σε κατηγοριοποίηση πραγματικού χρόνου.