تشخیص بدافزار با استفاده از تحلیل گراف فراخوانی سیستمی و یادگیری ماشین

امروزه بدافزارهای زیادی برای ایجاد اخلال در سامانه‌های رایانه‌ای یا داده‌های کاربران و یا به منظور جاسوسی از افراد و سازمان‌ها تولید می‌شود. بنابراین بررسی و پیشنهاد راه‌کارهای جدید برای تشخیص دقیق بدافزارها و تحلیل رفتار آن‌ها از اهمیت بسزایی برخوردار است. در این مقاله، یک راه‌کار تشخیص و تحلیل رفتار بدافزارها با استفاده از گراف فراخوانی سیستمی پیشنهاد می‌شود. مزیت استفاده از گراف فراخوانی سیستمی، پیاده‌سازی آسان و دقت بالا در تشخیص و تحلیل رفتار بدافزار است. در راه‌کار پیشنهادی با اجرای فایل اجرایی نرم‌افزار، فراخوانی‌های سیستمی استخراج و یک گراف از این فراخوانی‌ها ساخته می‌شود. سپس با تحلیل گراف و الگوریتم‌های یادگیری ماشین مانند الگوریتم درخت تصمیم، الگوریتم جنگل تصادفی، الگوریتم k-نزدیک‌ترین همسایه، الگوریتم ماشین بردار پشتیبان و الگوریتم شبکه‌های عصبی مدل‌های دسته‌بندی برای تشخیص بدافزار از فایل‌های اجرایی معمولی ساخته می‌شود. نتایج ارزیابی نشان‌می‌دهد راه‌کار پیشنهادی دارای میزان صحت و حساسیت بالاتر و میزان نرخ مثبت کاذب پایین‌تر نسبت به راه‌کارهای مرتبط است.

malware detection using system call graph analysis and machine learning

there is a rapid increase in number and variety of malware. in particular, hundreds of thousands of new malware are observed on a daily basis. this amplifies the need for automatic analysis and detection of malware. recently, techniques based on system call dependency graphs have emerged due to their promising detection rate and ease of implementation. in this paper, a new approach is proposed for malware detection. the approach is based on analysis of system call dependency graphs. dependency frequencies are considered as feature vectors to represent malware and benign behavior. given a train set of system call dependency graphs from various benign and malware families, machine learning algorithms are used to construct classification models. we try algorithms such as support vector machines, random forests and gradient boosted decision trees and train various classification models. the evaluation results demonstrate that most of these models, in comparison with other related work, have a high degree of detection rate and low false positive rate.