Un Approccio Online al Clustering di Malware

Gli attacchi Malware sono aumentati tantissimo negli ultimi anni, diventando sempre più avanzati e subdoli. Per questo, trovare e classificare il malware è fondamentale per tenere al sicuro le informazioni. Ci sono tantissimi Campioni di malware là fuori, quindi bisogna ordinarli in base alle loro caratteristiche dannose. Ecco perché i metodi di Clustering vengono usati sempre di più nella sicurezza informatica per analizzare come si comporta il malware e identificare nuovi gruppi. I metodi di clustering online ci aiutano a capire come si comporta il malware e a rispondere più velocemente ai nuovi pericoli.

#La necessità di rilevare il malware

Nel campo della rilevazione del malware ci sono due gruppi principali. Un gruppo crea malware, di solito per profitto, mentre l'altro lavora per trovarlo e fermarlo. Un tempo, creare software dannosi richiedeva molto tempo e competenze specializzate su sistemi informatici, reti e programmazione. Oggi, fare programmi dannosi è molto più veloce e facile. Ci sono strumenti disponibili che possono generare malware senza bisogno di conoscenze approfondite. Alcuni di questi strumenti si trovano gratis, ma altri sono difficili da reperire, magari sul darknet o a pagamento.

Usando un generatore di malware, si inseriscono parametri specifici e si produce un tipo particolare di malware. Parametri diversi possono portare a diversi tipi di malware. A seconda del generatore, puoi notare differenze tra i tipi di malware basate solo sui parametri usati. Ad esempio, due tipi di malware possono essere simili in ciò che fanno, ma usare metodi diversi per nascondere le loro azioni dannose.

I ricercatori credono che il malware creato dallo stesso generatore mostrerà somiglianze. Pensano che, se guardiamo abbastanza da vicino, possiamo vedere che i campioni fatti dallo stesso generatore sono simili. Quindi, possiamo collegare certi generatori con Famiglie di malware specifiche. Gli studi precedenti sulla classificazione del malware assumevano che il malware della stessa famiglia sarebbe simile e distinto da altre famiglie e file innocui.

Raggruppare il malware in famiglie è utile per le aziende antivirus, dato che ricevono ogni giorno molti nuovi campioni dannosi. L'obiettivo è classificare questi campioni in gruppi dove gli elementi della stessa famiglia appartengono allo stesso gruppo. Questo aiuta gli analisti del malware a ottenere campioni simili in una volta, rendendo il loro lavoro più veloce.

Il clustering del malware è anche importante per la ricerca, perché aiuta a tracciare come le diverse famiglie di malware cambiano nel tempo. Queste informazioni possono essere utilizzate per prevedere futuri tipi di malware. È fondamentale per il settore antivirus, poiché può ridurre il tempo impiegato per rilevare ed eliminare il malware.

#Modello di clustering online proposto

Questo articolo parla di un nuovo metodo che usa l'apprendimento automatico per raggruppare i campioni dannosi nelle loro famiglie corrispondenti online. Questo modello può raggruppare i campioni individualmente e non richiede che tutti i campioni siano presenti contemporaneamente. Una nuova regola aiuta a determinare se un campione appartiene a una famiglia conosciuta o a una nuova famiglia emergente. I campioni vengono elaborati man mano che arrivano, e i risultati mostrano che questo metodo funziona meglio che applicare semplicemente Algoritmi di clustering direttamente.

L'organizzazione di questo articolo include una rassegna dei lavori correlati, l'introduzione di tre algoritmi di clustering online, la presentazione del sistema proposto e i risultati degli esperimenti. L'articolo si conclude con suggerimenti su cosa si può fare dopo.

#Lavori correlati

C'è un crescente interesse nell'uso di metodi non supervisionati per compiti come la rilevazione del malware, l'analisi delle immagini e le comunicazioni wireless. Studi recenti si sono concentrati sull'uso di tecniche di apprendimento non supervisionato per classificare o trovare malware.

Un metodo chiamato MalFamAware utilizza il clustering online per identificare e categorizzare automaticamente le famiglie di malware. Aggiorna i cluster man mano che arrivano nuovi campioni senza bisogno di analizzare di nuovo l'intero set di dati. Un altro studio ha usato metodi di clustering a due fasi che combinano i risultati di vari algoritmi per migliorare i risultati finali della categorizzazione.

Ci sono altri studi che combinano mappe auto-organizzanti con altri metodi di clustering per migliorare i risultati. Alcuni ricercatori hanno proposto nuovi framework basati sull'apprendimento non supervisionato che aiutano a identificare app Android dannose. Altri hanno lavorato su sistemi che raggruppano automaticamente siti web dannosi o malware in famiglie basate su caratteristiche condivise usando ensemble di cluster.

Un altro studio ha introdotto un algoritmo genetico per il clustering di tipi di malware sconosciuti. Hanno utilizzato un popolare set di dati sul malware per migliorare il clustering comportamentale tramite tecniche avanzate. Alcuni studi si sono concentrati su come le diverse famiglie di malware si relazionano tra loro analizzando dati byte e utilizzando tecniche di clustering.

Inoltre, le mappe auto-organizzanti sono state usate per creare cluster che mostrano somiglianze nel comportamento del malware. Questi metodi hanno avuto gradi variabili di successo nel migliorare l'analisi e la classificazione dei campioni dannosi.

#Metodologia

Gli algoritmi di clustering aiutano a raggruppare oggetti simili in cluster. Questo lavoro si concentra su metodi di clustering online che elaborano i dati man mano che arrivano nel tempo. Ci concentriamo su tre metodi usati nei nostri esperimenti: Online -means, Basic Sequential Algorithmic Scheme (BSAS) e Self-Organizing Map (SOM). Applichiamo questi metodi per associare campioni con famiglie di malware.

#Online -means (OKM)

Questo metodo è una variazione delle tecniche di clustering tradizionali, dove i nuovi campioni vengono raggruppati e il centro di quel cluster viene aggiornato immediatamente. Lo svantaggio è che il numero di cluster deve essere impostato in anticipo.

#Self-Organizing Map (SOM)

Il SOM è un tipo di tecnica di apprendimento non supervisionato che organizza i dati in base alla somiglianza. Riduce i dati complessi in una griglia bidimensionale più semplice. L'algoritmo seleziona il nodo più simile all'input fornito, aggiornando le connessioni in base a questa somiglianza. Il SOM impara attraverso le interazioni tra i nodi, permettendo di creare cluster.

#Basic Sequential Algorithmic Scheme (BSAS)

L'algoritmo BSAS analizza ogni nuovo punto dati e lo raggruppa in un cluster esistente o ne crea uno nuovo. Fa questo sulla base di soglie preimpostate di distanza e numero di cluster. Il numero di cluster può crescere naturalmente man mano che arrivano nuovi dati, rendendo il metodo flessibile.

#Distance-weighted -nearest Neighbor (WKNN)

Questo classificatore viene utilizzato per assegnare nuovi dati a famiglie di malware conosciute in base alla distanza. Dà più importanza ai vicini più vicini nelle sue decisioni.

#Approccio proposto

Il nostro modello si concentra sul clustering sia di un set di dati fisso di campioni etichettati che di un flusso di nuovi campioni. L'obiettivo è raggruppare questi campioni in modo efficace fornendo alta purezza nei cluster.

#Preparazione dei dati

Il set di dati contiene molte caratteristiche relative ai campioni di malware. I dati in streaming consistono in campioni recentemente emersi. Elaborando entrambi i set di dati, il sistema può identificare rapidamente similarità e raggrupparli di conseguenza.

#Processo di clustering

Una volta preparato il set di dati, i campioni vengono elaborati individualmente. Ogni nuovo campione viene classificato per vedere se appartiene a una famiglia esistente o a una nuova. Il modello proposto aiuta ad espandere i cluster permettendo l'aggiunta di nuovi campioni in base a certe condizioni.

#Risultati sperimentali

Gli esperimenti hanno valutato il modello di clustering online proposto con tre diversi algoritmi. Ogni metodo affronta come raggruppare il malware emergente in base a regole stabilite.

#Performance dei metodi di clustering

I risultati hanno mostrato che tutti e tre gli algoritmi hanno raggiunto una decente purezza del cluster, con l'OKM che generalmente ha superato gli altri. L'efficienza del clustering è stata misurata anche utilizzando coefficienti di silhouette, indicando quanto fossero ben separati i cluster.

#Confronto con altri metodi

Quando il modello di clustering online proposto è stato confrontato con metodi tradizionali, ha mostrato prestazioni migliori. La purezza del clustering era più alta, indicando un raggruppamento più efficace dei campioni.

#Efficienza computazionale

È stato misurato il tempo impiegato da ciascun algoritmo di clustering. Tutti i metodi hanno completato il clustering in meno di un secondo per il numero medio di campioni. L'OKM si è rivelato il più veloce tra gli algoritmi testati.

#Conclusione

Il lavoro presentato riguarda il clustering online di campioni di malware in streaming con l'obiettivo di raggrupparli in famiglie. Utilizzando vari algoritmi, lo studio ha dimostrato che questo approccio può essere efficace. I risultati hanno indicato che il modello di clustering online ha raggiunto cluster con maggiore purezza rispetto ai metodi tradizionali.

#Lavori futuri

C'è potenziale per migliorare questo modello per gestire più famiglie mantenendo alta la purezza del cluster. Esplorare metodi come l'apprendimento semi-supervisionato potrebbe migliorare il clustering utilizzando un set più piccolo di campioni noti.

Questa ricerca sottolinea l'importanza di raggruppare correttamente i campioni di malware, che è cruciale per accelerare il processo di analisi e aiutare a prevedere nuove varianti di malware.