人工智能威脅檢測的兩大創(chuàng)新實踐
二進制可視化和機器學習的結(jié)合在網(wǎng)絡(luò)安全方面已經(jīng)展示了巨大潛力，惡意軟件和釣魚網(wǎng)站檢測就是其中的熱點領(lǐng)域，本文我們將介紹該領(lǐng)域的兩大創(chuàng)新應用進展。
一、用深度學習檢測惡意軟件
檢測惡意軟件的傳統(tǒng)方法是在文件中搜索惡意負載的已知簽名。惡意軟件檢測器擁有一個包含病毒操作碼序列或代碼片段的數(shù)據(jù)庫，它可搜索被檢測的新文件中是否存在這些簽名。但惡意軟件開發(fā)人員可以使用不同的技術(shù)輕松規(guī)避此類檢測方法，例如混淆檢測代碼或使用多態(tài)技術(shù)在運行時改變他們的代碼。雖然動態(tài)分析工具可嘗試在運行時檢測惡意行為，但速度較慢，并且需要設(shè)置沙箱環(huán)境來測試可疑程序。
近年來，研究人員嘗試了一系列機器學習技術(shù)來檢測惡意軟件。這些機器學習模型在惡意軟件檢測的一些領(lǐng)域上取得了進展，例如代碼混淆。但機器學習也面臨著新挑戰(zhàn)，包括需要學習太多的特征和分析目標樣本的虛擬環(huán)境。
二進制可視化可以通過將惡意軟件檢測轉(zhuǎn)化為計算機視覺問題來重新定義惡意軟件檢測。在這種方法中，文件通過將二進制和ASCII值轉(zhuǎn)換為顏色代碼的算法運行。
研究人員表明，當使用這種方法可視化良性和惡意文件時，可以將兩者分開，惡意文件往往包含各種類別的ASCII字符，呈現(xiàn)出豐富多彩的圖像，而良性文件則具有更清晰的圖片和值分布。企業(yè)可以利用此檢測模型進行惡意文件檢測。
研究人員創(chuàng)建了一個包含良性和惡意文件的可視化二進制文件數(shù)據(jù)集，該數(shù)據(jù)集包含各種惡意負載(病毒、蠕蟲、木馬、rootkit 等)和文件類型(.exe、.doc、.pdf、.txt 等)。
然后研究人員使用這些圖像來訓練分類器神經(jīng)網(wǎng)絡(luò)。他們使用的架構(gòu)是自組織增量神經(jīng)網(wǎng)絡(luò)(SOINN)，速度快，尤其擅長處理噪聲數(shù)據(jù)。他們還使用圖像預處理技術(shù)將二值圖像縮小為 1,024 維特征向量，這使得在輸入數(shù)據(jù)中學習模式變得更加容易且計算效率更高。由此產(chǎn)生的神經(jīng)網(wǎng)絡(luò)足夠高效，可以在配備英特爾酷睿i5處理器的個人工作站上在15秒內(nèi)計算包含4,000個樣本的訓練數(shù)據(jù)集。
研究人員的實驗表明，深度學習模型特別擅長檢測.doc和.pdf文件中的惡意軟件，這些文件是勒索軟件攻擊的首選媒介。研究人員建議，如果調(diào)整模型以將文件類型作為其學習維度之一，則可以提高模型的性能。總體而言，該算法實現(xiàn)了約74%的平均檢測率。
二、用深度學習檢測釣魚網(wǎng)站
網(wǎng)絡(luò)釣魚攻擊正成為組織和個人面臨的日益嚴重的問題。許多網(wǎng)絡(luò)釣魚攻擊誘使受害者點擊一個指向惡意網(wǎng)站的鏈接，這些網(wǎng)站偽裝成合法服務，他們最終會在其中輸入敏感信息，例如憑據(jù)或財務信息。
檢測網(wǎng)絡(luò)釣魚網(wǎng)站的傳統(tǒng)方法主要是將惡意域名列入黑名單或?qū)踩蛎腥氚酌麊?。前一種方法對名單內(nèi)未收錄的新型網(wǎng)絡(luò)釣魚網(wǎng)站沒有篩選能力，而后一種方法限制性太強，需要付出大量努力才能提供對所有安全域名的訪問。
2020年，研究人員使用二進制可視化和深度學習開發(fā)了一種檢測網(wǎng)絡(luò)釣魚網(wǎng)站的新方法。該技術(shù)使用二進制可視化庫將網(wǎng)站標記和源代碼轉(zhuǎn)換為顏色值。與良性和惡意應用程序文件的情況一樣，在可視化網(wǎng)站時，會出現(xiàn)區(qū)分安全和惡意網(wǎng)站的獨特模式。研究人員寫道：“合法站點具有更詳細的RGB值，因為它將由來自許可證、超鏈接和詳細數(shù)據(jù)輸入表的附加字符構(gòu)成。而網(wǎng)絡(luò)釣魚網(wǎng)站通常包含單個或不包含CSS引用、多個圖像而不是表單和一個沒有安全腳本的登錄表單。這將在抓取時創(chuàng)建一個較小的數(shù)據(jù)輸入字符串。”
研究人員創(chuàng)建了一個代表合法和惡意網(wǎng)站代碼的圖像數(shù)據(jù)集，并用它來訓練分類機器學習模型。他們使用的架構(gòu)是MobileNet，這是一種輕量級卷積神經(jīng)網(wǎng)絡(luò)(CNN)，經(jīng)過優(yōu)化可在用戶設(shè)備上運行，而不是在大容量云服務器上運行。CNN特別適用于計算機視覺任務，包括圖像分類和對象檢測。
一旦模型經(jīng)過訓練，它就會被插入到網(wǎng)絡(luò)釣魚檢測工具中。當用戶偶然發(fā)現(xiàn)一個新網(wǎng)站時，它首先檢查該URL是否包含在其惡意域數(shù)據(jù)庫中。如果是新域名，則通過可視化算法進行轉(zhuǎn)化，并通過神經(jīng)網(wǎng)絡(luò)運行，檢查是否有惡意網(wǎng)站的模式。這種兩步架構(gòu)確保系統(tǒng)使用黑名單數(shù)據(jù)庫的速度和基于神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)釣魚檢測技術(shù)的智能檢測。
研究人員的實驗表明，該技術(shù)檢測網(wǎng)絡(luò)釣魚網(wǎng)站的準確率高達94%。此外，研究人員還在探索使用二進制可視化和機器學習來檢測物聯(lián)網(wǎng)網(wǎng)絡(luò)中的惡意軟件流量。二元可視化表明，只要有足夠的創(chuàng)造力和嚴謹性，我們就可以為舊問題找到新的解決方案。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
