Введение 2
Актуальность 2
Цель работы 2
Задачи работы 2
Практическая значимость 3
Обзор существующих решений 4
Методы на основе динамического анализа 4
Методы на основе статического анализа 4
Методы на основе гибридного анализа 5
Глава 1. Составление списка критериев 7
1.1. Ограничения статического анализа 7
1.2. Аномальное поведение программы 7
1.3. Основные критерии 8
Глава 2. Сбор данных для обучения 11
2.1. Использованные инструменты 11
2.2. Использованные семейства вымогателей 11
Глава 3. Обучение модели 13
3.1. Визуализация данных 13
3.2. Использованные метрики 15
3.3. Обучение модели на основе случайного леса 15
3.4. Обучение модели на основе метода опорных векторов 16
3.5. Результаты 17
Заключение 18
Список литературы 19
Приложение 21
Последние несколько лет все большее внимание злоумышленников привлекает относительно новый класс вредоносного программного обеспечения - вымогатели-шифровальщики. Будучи запущенной на компьютере жертвы, программа шифрует файлы пользователя, а за восстановление доступа к ним вымогатели требуют выкуп.
Все чаще целью атак злоумышленников становятся крупные организации. Сами вымогатели при этом стали использовать тактику двойного выкупа, требуя деньги как за расшифровку файлов, так и за удаление украденных злоумышленниками данных с целью не допустить публикацию конфиденциальных сведений.
К решению проблемы подключились многие компании, работающие в сфере обеспечения информационной безопасности. Во многих современных антивирусных решениях можно обнаружить защиту от вымогательского ПО. Однако не стоят на месте и злоумышленники, использующие различные техники для маскировки вредоносной активности. Таким образом, актуальной стала задача обнаружения данного класса вредоносного ПО.
Цель работы
Разработать алгоритм распознавания программ-шифровальщиков. При этом могут использоваться как методы статического, так и методы динамического анализа.
Задачи работы
1. Определение набора признаков для обучения модели.
2. Создание обучающей и тестовой выборок модели на основе уже известных образцов программ-шифровальщиков.
3. Реализация и обучение модели, её тестирование.
Практическая значимость
Разработанный метод может использоваться как в личных, так и в корпоративных системах для их защиты от атак программ-вымогателей.....
В ходе работы были реализованы две модели для распознавания программ-шифровальщиков. Полученная точность классификации обеих моделей составляет 97%. При этом полнота моделей (recall) оказалась равной 100%, то есть системой верно распознаются все образцы программ- вымогателей тестовой выборки.
Отличием данной работы от многих других является использование малого числа признаков, необходимых для классификации, в сочетании с высокой точностью распознавания.
Дальнейшим направлением для развития результатов работы может являться интеграция модели с какими-либо песочницами (например, с песочницей Cuckoo Sandbox). Таким образом, результаты работы могут быть использованы для защиты как личных компьютеров, так и корпоративных систем.
