您当前的位置是:  首页 > 技术 > 企业通信 > 技术 > 数据网络 > 技术动态 >
技术 - 企业通信 - 数据网络技术频道
  首页 > 技术 > 企业通信 > 技术 > 数据网络 > 技术动态 > 微软用机器学习强化防毒软件、14分钟分析8位受害者电脑

微软用机器学习强化防毒软件、14分钟分析8位受害者电脑

--阻挡新型勒索软体

2017-12-18 11:00:43   作者:   来源:CTI论坛   评论:0  点击:

  Windows Defender Antivirus用了许多不同演算法来侦测恶意软件,有一些是二元分类器,出来便是一翻两瞪眼0与1的结果,有一些则是多元分类器,给出机率性的结果。每一层的机器学习都被训练来侦测不同的程式特徵,有些需要负责数百个特徵,有些则需要侦测数十万个特征。
  恶意软件日新月异,突变的速度越来越快,单纯靠资安专家以人力防范恶意攻击可能不足,微软揭露了机器学习如何应用在自家防毒软件Windows Defender Antivirus上,以自动化及多层机器学习架构,试图缩小新的恶意软件出现到被侦测的时间差。
  Windows Defender Antivirus使用倒金字塔分层恶意软件侦测模型(上图),像滤网一层层筛出隐藏的恶意软件,侦测模型第一层为本机端启发式与通用型侦测,接着是元资料机器学习模型、样本分析机器学习模型、引爆式的机器学习模型,然後到最底层的大资料分析。
  疑似恶意软件的档案会经过各层把关,每一层所负责侦测档案的特徵不同,但多数的恶意软件,在第一层本机端启发式与通用型侦测阶段就会被发现,当经过第一层侦测後,仍存在疑虑时,便往下层移动进行更复杂的分析,越下层的分析便越精确,但是相对,所花的时间也会增加,耗费时间从第一、二层的几毫秒到第三层的数秒,第四层数分钟甚至是大资料分析的数小时。
  微软表示,Windows Defender Antivirus用了许多不同演算法来侦测恶意软件,有一些是二元分类器,结果便是非0即1,有一些则是多元分类器,做出机率性的结果,像是分类恶意软件、乾净档案、可能不需要的应用程式等类型。每一层的机器学习都被训练来侦测不同的程式特徵,有些需要负责数百个特徵,有些则需要侦测数十万个特徵。
  在倒金字塔分层恶意软件侦测模型,最快动作的分类器便是本机端启发式与通用型侦测,用来侦测特定事件(Events)发生时的静态属性(Static attributes),当第一层分析结果为未定论,Windows Defender Antivirus便会把档案放到沙盒中执行,藉由分析其运作时的行为,这个阶段微软称他为引爆式分析,或是称为动态分析。
  (下图)执行引爆式分析的时候,Windows Defender Antivirus会记录像是注册档变更、档案的产生与删除甚至是程序注射等动态特徵,并把这些特徵供给其他机器学习模型使用,而其他的机器学习模型便可以综合动态与静态特徵,做出更加可信的预测。
  微软举了一个14分钟防护勒索软件的例子。2017年10月14日早上11点47分,在俄国圣彼得堡的一名Windows Defender Antivirus的使用者,从一个恶意网站下载了一个名为FlashUtil.exe的档案,这看似是一个Flash的更新软件,实则是Tibbar勒索软件。
  Windows Defender Antivirus本机端认为这是一个可疑的档案,便查询云端防护服务,发现有几个元资料机器学习模型认为此档案有嫌疑,但是不到需要阻挡的层级。於是Windows Defender Antivirus暂时锁住档案,并将完整档案上传处理,等待发落。
  数秒钟後,经过多重深度类神经网路的样本分析机器学习模型回传结果,认为这个档案有81.6%机会是恶意软件,但是Windows Defender Antivirus设定阻挡的阈值是90%,因此档案仍可以继续执行。但与此同时,全世界已经有8位受害者电脑被勒索软件控制,不过也因为勒索软件在这些受害者的电脑上运作,让Windows Defender Antivirus有机会进行引爆式分析,纪录勒索软件的动态特徵,当多重深度类神经网路再次分析这些动态特徵时,对於预测此档案是恶意软件的信心高达90.7%,云端防护便开始在发布封锁指令。
  就在11点31分,Windows Defender Antivirus取得了这个新的勒索软件的第一滴血。第10位使用者在乌克兰下载了同样的勒索软件,Windows Defender Antivirus同样上传勒索软件的特徵,不过这次在查询云端防护系统後发现此为恶意软件,便封锁了这个档案而成功保护了使用者的电脑。从发现恶意软件到防护中间历时14分钟。
【免责声明】本文仅代表作者本人观点,与CTI论坛无关。CTI论坛对文中陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考,并请自行承担全部责任。

专题