Fusão de engenharia de características e aprendizado profundo: Um estudo de caso para classificação de malware

O aprendizado de máquina se tornou uma abordagem atraente sem assinatura para detectar e classificar malware devido à sua capacidade de generalizar para amostras nunca antes vistas e de lidar com grandes volumes de dados. Enquanto as abordagens tradicionais baseadas em características dependem do design manual de características elaboradas com base no conhecimento dos especialistas no domínio, as abordagens de aprendizado profundo substituem o processo manual de engenharia de características por um sistema subjacente, que normalmente consiste em uma rede neural com múltiplas camadas, que realiza tanto o aprendizado de características quanto a classificação. No entanto, a combinação de ambas as abordagens poderia melhorar substancialmente os sistemas de detecção. Neste artigo, apresentamos uma abordagem híbrida para abordar a tarefa de classificação de malware, fundindo múltiplos tipos de características definidas por especialistas e características aprendidas através do aprendizado profundo a partir de dados brutos. Em particular, nossa abordagem se baseia no aprendizado profundo para extrair características semelhantes a N-gramas das instruções da linguagem de montagem e dos bytes do malware, e padrões de textura e características baseadas em shapelet da representação em imagem em escala de cinza do malware e da entropia estrutural, respectivamente. Essas características profundas são posteriormente passadas como entrada para um modelo de gradient boosting que combina as características profundas e as características elaboradas manualmente usando um mecanismo de fusão antecipada. A adequação de nossa abordagem foi avaliada no benchmark do Microsoft Malware Classification Challenge e os resultados mostram que a solução proposta alcança desempenho de ponta e supera métodos de gradient boosting e aprendizado profundo na literatura.