توليد خودكار امضاهاي رفتاري چندگانه براي تشخيص بدافزارهاي چندريخت با استفاده از روش هاي يادگيري ماشين

در ابزارهاي ضدبدافزار امروزي از امضاهاي توليد شده از كد دودويي بدافزارها به طور گسترده استفاده مي شود. به دليل وجود شيوه هاي مختلف مبهم سازي، اين امضاها از كارآيي چنداني براي تشخيص بدافزارهاي چندريخت برخوردار نيستند. با اين وجود نمونه هاي مختلف از هر بدافزار چندريخت از الگوهاي رفتاري مشابهي پيروي مي كنند كه از اين الگوها مي توان براي توليد امضاهاي رفتاري استفاده كرد. در اين مقاله، روشي جديد مبتني بر خوشه بندي، همترازي دنباله ها و اتوماتاهاي غيرقطعي براي توليد خودكار امضاهاي رفتاري چندگانه براي تشخيص بدافزارهاي چندريخت پيشنهاد مي شود. در روش پيشنهادي، ابتدا براي هر نخ در نمونه هاي مختلف از هر بدافزار چندريخت يك دنباله رفتاري استخراج مي شود. سپس با اعمال يك الگوريتم خوشه بندي حريصانه دنباله هاي رفتاري مشابه در خوشه هاي يكسان گروه بندي شده و با اعمال يك الگوريتم همترازي دوگانه براي هر خوشه يك الگوي رفتاري ايجاد مي شود. در نهايت، با هرس كردن الگوهاي رفتاري زائد و تبديل الگوهاي رفتاري باقي مانده به اتوماتاهاي غيرقطعي يك امضاي رفتاري چندگانه براي بدافزار چندريخت توليد مي شود. نتايج آزمايش هاي انجام شده بر روي يك مجموعه داده از بدافزارهاي مختلف نشان مي دهد كه با استفاده از امضاهاي رفتاري چندگانه توليد شده توسط روش پيشنهادي مي توان انواع بدافزارهاي چندريخت را با نرخ بالا تشخيص داد