Explainable Attention-Guided Stacked Graph Neural Networks for Malware Detection

ملخص تقني: شبكات عصبية رسومية متراكمة موجهة بالانتباه وقابلة للتفسير للكشف عن البرمجيات الخبيثة

بيان المشكلة
تواجه عملية الكشف عن البرمجيات الخبيثة في بيئات الحوسبة الحديثة تحديات كبيرة بسبب التعقيد المتزايد لتقنيات التهرب والقيود المفروضة على الأساليب التقليدية القائمة على التوقيع. وبينما أظهرت الشبكات العصبية الرسومية (GNNs) وعوداً في نمذجة التبعيات الهيكلية داخل تمثيلات البرامج مثل مخططات تدفق التحكم (CFGs)، إلا أن النهج المعتمد على نموذج واحد غالباً ما يعاني من محدودية التعميم والافتقار إلى القابلية للتفسير. وفي التطبيقات الأمنية عالية الخطورة، فإن عدم القدرة على تفسير سبب تصنيف النموذج لعينة ما على أنها خبيثة يعيق الثقة والرؤى القابلة للتنفيذ للمحللين. علاوة على ذلك، تفشل طرق التجميع (Ensemble methods) الحالية غالباً في معالجة قابلية التفسير في النماذج المتراكمة، حيث يقوم متعلم ميتا (Meta-learner) بدمج تنبؤات من متعلمين أساسيين متنوعين.

المنهجية
تقترح الورقة إطار عمل جديد للتجميع المتراكم (Stacking Ensemble - SE) مصمم للكشف عن البرمجيات الخثبية القائمة على الرسوم البيانية والتفسير. تتكون المنهجية من أربعة مكونات رئيسية:

1. استخراج مخطط تدفق التحكم الديناميكي وتضمين العقد:

   • يستخرج النظام مخططات تدفق التحكم (CFGs) ديناميكياً من ملفات الملفات التنفيذية لـ Windows (PE) باستخدام إطار العمل angr الذي يجمع بين التنفيذ الرمزي وحل القيود للتعامل مع التمويه والقفزات غير المباشرة.
   • تستخدم استراتيجية تضمين الميزات ذات الخطوتين لتشفير الكتل الأساسية (العقد):
     • التشفير القائم على القواعد: يتم تفكيك تعليمات التجميع (Assembly) داخل كل كتلة أساسية إلى سبعة مكونات (البادئة، رمز العملية، ModRM، SIB، الإزاحة، القيمة الفورية، والخيار) وتشفيرها إلى متجه ذي 439 بُعداً.
     • تقليل الأبعاد: يقوم مشفر تلقائي (Autoencoder) غير خاضع للإشراف بضغط هذه المتجهات عالية الأبعاد إلى فضاء كامن مدمج ذي 64 بُعداً، مما يحافظ على المعلومات الدلالية والهيكلية الجوهرية.

2. متعلمون أساسيون متنوعون للشبكات العصبية الرسومية (GNN):

   • يستخدم إطار العمل مجموعة من نماذج GNN المتنوعة كمتعلمين أساسيين لالتقاط الميزات السلوكية المتكاملة. وتحديداً، يستخدم الشبكات العصبية التلافيفية للرسوم البيانية (GCN)، وشبكات التماثل الرسومي (GIN)، وشبكات الانتباه الرسومي (GAT).
   • تختلف هذه النماذج في آليات تمرير الرسائل (التنعيم الطيفي، التمييز الطوبولوجي، والوزن القائم على الانتباه)، مما يضمن تنوع التمثيل.
   • يخرج كل متعلم أساسي توزيعاً احتمالياً فوق الفئات الحميدة والخبيثة.

3. متعلم ميتا القائم على الانتباه:

   • يتم تنفيذ متعلم الميتا كبنية متعددة الطبقات (MLP) معززة بآلية انتباه، تقوم بتجميع تنبؤات المتعلمين الأساسيين.
   • تقوم آلية الانتباه بحساب الأوزان ($\alpha_i$) لمخرجات كل متعلم أساسي، مما يحدد مساهمتهم النسبية في القرار النهائي. وهذا يسمح للنموذج بوزن أهمية بنيات GNN المختلفة تكيفياً لحالات محددة.
   • يتم تدريب متعلم الميتا باستخدام استراتيجية التحقق المتقاطع خماسي الطيات (5-fold cross-validation) حيث يتم تدريب المتعلمين الأساسيين على مجموعات فرعية من البيانات وتقييمهم على طيات محجوزة لإنشاء مجموعة بيانات التدريب الخاصة بـ "الميتا".

4. التفسير المدفوع بالتجميع:

   • لمعالجة طبيعة "الصندوق الأسود" للنماذج التجميعية، تقدم الورقة تقنية تفسير لاحقة (Post-hoc).
   • تولد أدوات تفسير GNN الحديثة (مثل التدرجات المتكاملة أو الانتشار الخلفي الموجه) درجات أهمية مستوى الحافة ($\beta_{i,k}$) لكل متعلم أساسي.
   • يتم بعد ذلك تطبيع هذه الدرجات وتجميعها باستخدام أوزان الانتباه ($\alpha_i$) التي تعلمها متعلم الميتا، لينتج عن ذلك درجة أهمية الحافة النهائية ($\beta_{a,k}$) كجموع موزون للتفسيرات الفردية، مما ينتج تفسيراً واعياً بالتجميع يتوافق مع قرار التصنيف النهائي.

المساهمات الرئيسية

• إطار عمل SE مبتكر: إطار عمل تجميع متراكم للتعرف على البرمجيات الخبيثة القائم على الرسوم البيانية، حيث تلتقط متعلمون أساسيون متنوعون من GNN المعلومات الهيكلية والدلالية المتكاملة من CFGs المستخرجة ديناميكياً من ملفات PE.
• متعلم ميتا قائم على الانتباه: تقديم متعلم ميتا مزود بآلية انتباه لا تعمل فقط على تجميع التنبؤات لتحقيق تصنيف دقيق، بل توفر أيضاً عزواً (Attribution) قابلاً للتفسير لمساهمة كل نموذج في القرار النهائي.
• تفسير واعٍ بالتجميع: طريقة تفسير لاحقة جديدة تدمج درجات أهمية مستوى الحافة من النماذج الأساسية الفردية باستخدام أوزان الانتباه لمتعلم الميتا، مما يولد تفسيرات موحدة تعكس الاستدلال الجماعي للمجموعة.

النتائج التجريبية
تم تقييم إطار العمل على مجموعة بيانات تضم عينات خبيثة من BODMAS وPMML، وعينات حميدة من DikeDataset.

• أداء التصنيف: حقق نموذج SE المقترح دقة بلغت 86.14%، متفوقاً على النماذج الأساسية الفردية (GCN، Gin، GAT) وعلى التجميع المتوسط العادي (AE). ومن الملاحظ أنه بالنسبة للفئة الخبيثة، حقق نموذج SE استدعاءً (Recall) بنسبة 91.18% ودرجة F1 بلغت 89%، مما قلل بشكل كبير من السلبيات الكاذبة مقارنة بالنماذج الفردية.
• المتانة: في ظل الظروف العدائية التي تتضمن حقن حواف مزيفة (من 10% إلى 30% تمويه)، أظهر نموذج SE متانة فائقة، حيث سجل أقل تدهور في الدقة (-2.1% عند 30% تمويه) مقارنة بالمتعلمين الأساسيين والتجميع المتوسط (AE).
• القابلية للتفسير: أشارت مقاييس الأمانة (Fidelity Metrics - $Fidelity^+$ و $Fidelity^-$) إلى أن طريقة التفسير القائمة على التجميع حددت بفعالية المخططات الفرعية المؤثرة. حققت الطريقة قيم $Fidelity^-$ أقل (مما يشير إلى أن المخطط الفرعي المحدد يحتفظ بالمعلومات الحرجة) مقارنة بتفسيرات النماذج الأساسية الفردية، مع الحفاظ على درجات $Fidelity^+$ مماثلة.

الأهمية والادعاءات
تدعي الورقة أن إطار العمل المقترح يعالج التحديات المزدوجة المتمثلة في الدقة والقابلية للتفسير في الكشف عن البرمجيات الخبيثة. ومن خلال الاستفادة من نقاط القوة المتكاملة لبنيات GNN المتنوعة عبر آلية تجميع موجهة بالانتباه، يحسن النظام من التعميم والمتانة ضد تقنيات التهرب. والأهم من ذلك، فإن طريقة التفسير المقترحة تسد الفجوة بين قرارات المجموعات المعقدة والفهم البشري، مما يوفر للمحللين الأمنيين رؤى شفافة وغير مرتبطة بنموذج محدد حول أنماط تدفق التحكم التي تقود الكشف عن البرمجيات الخبيثة. ويضع المؤلفون هذا العمل كخطوة نحو أنظمة أمنية أكثر ثقة وفعالية مدعومة بالذكاء الاصطنا، خاصة لتحليل البرمجيات الخبيثة المتطورة والمموّهة.