Eine hybride Methode zur Intrusionserkennung mit maschinellem Lernen für metamorphe Malware

Zusammenfassung Schadsoftware, die ausgeklügelte Techniken wie Obfuskation und Anti-Analyse-Methoden verwendet, um der Entdeckung zu entgehen, wird für digitale Forensik-Analysten zunehmend komplexer. Es wurde bereits berichtet, dass Angreifer mit diesen fortschrittlichen Techniken bestehende Sicherheitsmaßnahmen erfolgreich umgangen haben, was einen ständigen Wettlauf zur Aktualisierung und Verbesserung der bestehenden Intrusion Detection Systems (IDS) bedeutet und Milliarden von Dollar an Verlusten einspart. Traditionelle signatures-basierte IDS (SIDS) und anomaliebasierte IDS (ABIDS) haben Schwierigkeiten, neue und unbekannte bösartige Bedrohungen zu erkennen, was fortschrittlichere IDS erfordert. Diese Herausforderungen machen die Notwendigkeit für kontinuierliche Forschung und Entwicklung in IDS deutlich, um mit dem sich entwickelnden Sicherheitsbedrohungsumfeld Schritt zu halten. Dieses Papier schlägt einen zweistufigen Ansatz für die Identifizierung mithilfe von maschinellem Lernen (ML) vor. Die Neuheit ergibt sich auch aus der Kombination von zwei unterschiedlichen Merkmalsätzen, die das Endergebnis effektiver verbessern, als wenn sie getrennt angewendet werden. In Stufe 1 validiert ein diskretes Hidden Markov Model (dHMM) den Eingabedatensatz unter Verwendung von Opcode-Sequenzen; während Stufe 2 die Portable Executable (PE)-Abschnitte aus ausführbaren Dateien als Merkmale eines Random Forest (RF) verwendet. Letztendlich ist das RF für Klassifikations- und Erkennungszwecke von metamorpher Malware verantwortlich. Dieser hybride Ansatz lieferte vielversprechende Ergebnisse mit einer Präzisionsrate von 100 % und einer Genauigkeit von 95 %.