لخّصلي

مع التطور السريع لتكنولوجيا الكمبيوتر والإنترنت، أصبح أمن الكمبيوتر منتشرًا بشكل متزايد خلال العقود الماضية. البرامج الضارة (اختصار للبرامج الضارة )، بما في ذلك الفيروسات والأبواب الخلفية وبرامج التجسس وأحصنة طروادة والديدان وشبكات الروبوت، هي برامج تنشر وتصيب أجهزة الكمبيوتر لأغراض ضارة للمهاجم [7]، [13]، [14]. في شكل تعليمات برمجية قابلة للتنفيذ، ونصوص برمجية، ومحتوى نشط، وبرامج أخرى، يمكن استخدام عينات البرامج الضارة لتعطيل تشغيل الكمبيوتر، أو جمع معلومات حساسة، أو الوصول إلى أنظمة الكمبيوتر الخاصة، وقد تتسبب في أضرار جسيمة وخسائر مالية لأجهزة الكمبيوتر والمستخدمين. . نظرًا لضررها على الأمن والخسائر الاقتصادية للأشخاص، أصبح اكتشاف البرامج الضارة أكثر أهمية.

في الوقت الحالي، يعتمد النهج الرئيسي للحماية من البرامج الضارة على التوقيع والذي يتم اعتماده على نطاق واسع من قبل معظم بائعي برامج مكافحة البرامج الضارة [8]، [9]. التوقيع هو جزء معين من التعليمات البرمجية يتم التعبير عنه في شكل بايت أو تسلسل تعليمات يتم الحصول عليه من خلال التحليل اليدوي بواسطة خبراء أمن الكمبيوتر، وهو فريد لكل برنامج ضار معروف يسمح بالتعرف على الملفات غير المعروفة بشكل صحيح مع معدل اكتشاف أعلى [10 ]. يتم نشر المراقبة وتحليل التعليمات الثنائية لاستخراج التوقيعات من عينات البرامج الضارة غير المعروفة يدويًا، وهي مهمة معقدة وتستغرق وقتًا طويلاً. وبالتالي، لن يتم التعرف على البرامج الضارة غير المعروفة التي تم إصدارها حديثًا على الفور نظرًا لأنه لا يمكن مطابقة توقيعها في قواعد بيانات التوقيع قبل إصدار التحديث. نظرًا لإصابة أكثر من 75000 مضيف خلال 10 دقائق من خلال استغلال ثغرة SQL Server، كانت 'Slammer' أسرع دودة كمبيوتر في التاريخ [16]. علاوة على ذلك، أصبح المهاجمون، مدفوعين بالفوائد الاقتصادية، أكثر تطوراً واستخدموا مجموعة أدوات تطوير متقدمة، بما في ذلك التشفير وتعدد الأشكال والتحول لجعل عينات البرامج الضارة تبدو وكأنها تتصرف مثل الملفات الحميدة وتكون محصنة ضد الاكتشاف القائم على التوقيع، مما يشكل تهديدًا كبيرًا استراتيجية الكشف هذه. لقد حفزت هذه المشكلة صناعة مكافحة البرامج الضارة على تكريس نفسها لإعادة تصميم أنظمة الأمان الخاصة بها لاكتشاف البرامج الضارة التي تم إصدارها حديثًا.

في السنوات الأخيرة، وفي مواجهة الكثير من عينات الملفات غير المعروفة حديثًا كل يوم، تحول الباحثون من نموذج الكشف النموذجي القائم على التوقيع إلى أساليب أكثر كفاءة وقوة تعتمد على تحليل محتوى الملف والتي تدمج نماذج التعلم الآلي. تم إجراء العديد من الجهود مع تقنيات استخراج البيانات لتحليل وتصنيف عينات الملفات، بما في ذلك تحليل الميزات الثابتة، وتحليل الميزات الديناميكية [1]، [2]، [15]، [23]، [24]، [26]، [33] ]، [35]، [36]. طبقت هذه التقنيات خوارزميات استخراج البيانات (مثل التصنيف أو التجميع) لاكتشاف البرامج الضارة استنادًا إلى ميزات المحتوى، مثل التعليمات وتدفق التحكم المستخرج من الرموز الثنائية وتسلسلات استدعاء واجهة برمجة التطبيقات (API) التي يتم تتبعها من بيئات وقت التشغيل. بالإضافة إلى محتوى الملف، يتم أيضًا الاستفادة من العلاقات بين عينات الملفات (مثل العلاقات من ملف إلى جهاز، والعلاقات من ملف إلى ملف، والعلاقات من ملف إلى أرشيف) لاكتشاف البرامج الضارة في السنوات الأخيرة [5]، [6]، [27 ]، [28]، [34]. في عملنا السابق [19]، تم تطبيق خوارزمية نشر التسمية على الرسم البياني لعلاقة الملف الذي تم إنشاؤه لاكتشاف عينات الملفات الضارة.

نظرًا لوجود عدد كبير من الملفات الجديدة غير المسماة كل يوم، فمن المستحيل وغير المقبول أن يقوم خبراء الأمن بتحليل جميع هذه الملفات وتسميتها بسبب التكلفة الباهظة. إن الملفات التي يجب اختيارها وتحليلها بواسطة خبراء بشريين للاستعلام عن التسميات لتحسين نموذج الكشف أمر بالغ الأهمية. يلعب التعلم النشط، الذي يختار البيانات المثلى لوضع العلامات بناءً على نموذج التعلم، دورًا مهمًا في تقليل تكلفة وضع العلامات وتوفير التحسين الأكثر أهمية في نموذج التعلم.

في هذه الورقة، وبالاستناد إلى الرسم البياني للعلاقة بين الملف والملف، نقدم إطار عمل FindMal للكشف عن عينات الملفات الضارة التي يتم فيها استخدام طريقة Label Propagation والتعلم النشط. بدلاً من استخدام معلومات محتوى عينات الملفات، فإننا نتحقق من كيفية استخدام علاقات الملفات لاكتشاف عينات البرامج الضارة وتطبيق طريقة نشر الملصقات لتصنيف عينات الملفات بناءً على الرسوم البيانية لعلاقات الملفات التي تم إنشاؤها. تم اقتراح ثلاث ميزات قوية تعتمد على الرسم البياني لاختيار عينات ملفات تمثيلية للاستعلام عن التسميات من الخبراء البشريين. استنادًا إلى الميزات المقترحة والرسم البياني لعلاقة الملف، يتم تطبيق خوارزمية نشر الملصقات (LP) وخوارزمية التعلم النشط (AL) للكشف عن البرامج الضارة من مجموعة ملفات غير معروفة. على حد علمنا، هذا هو العمل الأول لاقتراح إطار عمل لاكتشاف البرامج الضارة استنادًا إلى الشبكة الاجتماعية لعينات الملفات باستخدام خوارزمية التعلم شبه الخاضعة للإشراف مع أساليب التعلم النشط. يتم استخدام مجموعة بيانات علاقة الملفات الحقيقية والواسعة النطاق من شركة صناعة مكافحة البرامج الضارة في التجارب. يعد حجم مجموعة البيانات هذه تمثيليًا، بما في ذلك 69,165 عينة من الملفات (3,095 برنامجًا ضارًا، و22,583 ملفًا حميدًا، و43,487 ملفًا غير معروف) على 3793 عميلًا.