رويكرد جديد براي شناسايي و دسته بندي بدافزار براساس تركيب ساختار ايستا و رفتار پويا

كارشناسي ارشد

نرم افزارهاي مخرب، همواره تهديدي جدي براي محيط هاي كامپيوتري به شمار مي روند. براي مقابله با اين بدافزارها از رويكردهاي تحليل به منظور درك اهداف بدافزار و در نتيجه انجام واكنش مناسب در برابر آن ها استفاده مي شود. تحليل هاي ايستا داراي سرعت بالايي مي باشند، اما متأسفانه به دليل وجود مانع هايي همچون مبهم سازي، رمزنگاري و بسته بندي در تحليل با مشكل مواجه مي شوند. يك راه حل براي رفع اين مشكل روش هاي ايستا، ادغام آن ها با روش هاي تحليل پويا هست. مشكلات روش هاي پويا خسارات ناشي از اجراي كد بدخواه است. روش شناخته شده براي حل اين مشكل اجراي كد بدخواه در محيط ماشين مجازي و جعبه شني است. در اين پايان نامه روش تركيبي نويني جهت تحليل و شناسايي بدافزار ارائه شده است. اين روش از چهار قسمت اصلي تحليل ايستا، تحليل پويا، تشخيص بدافزارهاي ضدتحليل و دسته بندي بدافزارها با استفاده از يادگيري ماشين تشكيل مي شود. تحليل گر ايستا با توليد يك گراف جريان كنترلي از فراخواني هاي سيستمي، بردار ويژگي ايستاي فايل را توليد مي كند. تحليل گر پويا با به كارگيري دو محيط تحليل پوياي پين و جعبه شن كوكو، با اجراي فايل، گزارش هاي رفتاري را توليد مي كند. يكي از اصلي ترين مشكلات روش هاي تحليل پويا، بدافزارهاي ضدتحليل پويا هستند، كه در صورت تشخيص محيط، ممكن است اجراي خود را خاتمه داده و يا رفتار خود را نشان ندهد. در نتيجه احتمال شناسايي اين بدافزارها به عنوان فايل سالم افزايش مي يابد و مي تواند موجب بروز خسارات گردد. به همين منظور روشي جهت شناسايي بدافزارهاي ضدتحليل پويا در سه بخش ارائه شده است. در بخش اول از تفاوت هاي رفتاري فايل مخرب در محيط هاي تحليل پويا استفاده مي شود. بخش دوم با بررسي ميزان اجراي كد بدخواه با توجه به گراف جريان كنترلي تحليل ايستا انجام مي شود و در نهايت در بخش سوم به دنبال برخي نشانه ها كه از لحاظ معنايي نشانه هاي ضدتحليل محسوب مي شوند، مي باشيم. اين سه فاز به صورت كاملا ً همزمان انجام گرفته و نشان داده خواهد شد كه اين روش كارآيي مناسبي در شناسايي اين گونه بدافزارها دارد. پس از انتخاب نمونه هاي نهايي، بردار ويژگي پوياي فايل نيز تشكيل داده مي شود. در نهايت اين دو بردار تركيب شده و با انتخاب ويژگي هاي مؤثر و با استفاده از الگوريتم هاي يادگيري ماشين عمل دسته بندي بدافزارها انجام مي گردد. روش پيشنهادي در عمل مورد پياده سازي قرار گرفته و با روش هاي تركيبي موجود مقايسه شده است. در عمل نشان داده شده كه دسته بندي و تشخيص بدافزارها در روش پيشنهادي نسبتاً دقيق تر از روش هاي موجود است.

189866

دانشگاه علم و صنعت ايران

نرم افزار

دكتر سعيد پارسا