A Unified Evaluation of Learning-Based Similarity Techniques for Malware Detection

إليك ملخص تقني مفصل للورقة البحثية بعنوان "تقييم موحد لتقنيات التشابه القائمة على التعلم في كشف البرمجيات الخبيثة."

1. بيان المشكلة

يتطلب تحليل البرمجيات الخبيثة الحديثة تحديد العلاقات بين الملفات الثنائية (مثل: إسناد العائلة، التجميع/Clustering) بدلاً من مجرد التصنيف الثنائي (خبيث مقابل سليم). تفشل تقنيات التجزئة التشفيرية التقليدية (مثل MD5 وSHA-256) في هذا السياح لأن التحويلات الطفيفة (مثل التغليف/Packing، أو إعادة التجميع، أو إعادة ترتيب التعليمات) تنتج تجزئات مختلفة تماماً.

بينما توجد تقنيات التجزئة الضبابية (Fuzzy Hashing) (مثل ssdeep وTLSH) وطرق التعلم الآلي (ML) القائمة على التضمينات (Embeddings)، إلا أنها خضعت تاريخياً للتقييم بشكل منعزل باستخدام مجموعات بيانات ومقاييس متباينة. هناك نقص في وجود إطار عمل موحد للمقارنة بين:

• ملخصات التشابه الكلاسيكية على مستوى البايت (Byte-level).
• التضمينات القائمة على التعلم والمستخرجة من البيانات الوصفية الساكنة لملفات PE.
• المقايضات بين دقة التصنيف وجودة فضاء التشابه المستحث (التجميع/Clustering).

2. المنهجية

يقدم المؤلفون إطار عمل تجريبي موحد وقابل لإعادة الإنتاج باستخدام مجموعتي بيانات EMBER (مليون ملف PE ساكن) وEmberSim.

أ. معالجة البيانات وهندسة الميزات

• المصدر: البيانات الوصفية الساكنة لملفات PE المستخرجة عبر LIEF بتنسيق JSONL.
• التحويل: تقوم سلسلة عمليات صارمة بتحويل هياكل JSON الهرمية وغير المتجانسة إلى ناقلات عددية ثابتة الطول.
  • التطبيع (Normalization): استبعاد المعرفات غير المعلوماتية (مثل الهاشات).
  • التسطيح (Flattening): بسط الهياكل الهرمية (مثل رؤوس COFF، والواردات/Imports) إلى أعمدة منفصلة.
  • الترميز (Vectorization): استخدام نموذج حقيبة الكلمات (Bag-of-Words) للسمات النصية ذات الكثافة العالية (الواردات، الصادرات) مع حد للمفردات يبلغ 2,048، واستخدام تطبيع Z-score للسمات العددية.

ب. النماذج التي تم تقييمها

تقارن الدراسة أربعة نهج مختلفة لتوليد تمثيلات التشابه:

1. التجزئة الضبابية الكلاسيكية: ssdeep (استُخدم كخط أساس/Baseline).
2. المشفر التلقائي غير الخاضع للإشراف (Unsupervised Autoencoder - AE): شبكة عصبية متعددة الطبقات متماثلة (256→64→8→64→256) مدربة على إعادة بناء ميزات المدخلات، حيث يُستخدم عنق الزجاجة ذو الـ 8 أبعاد كتمثيل (Embedding).
3. المصنف العميق (الثنائي): شبكة عصبية عميقة متصلة بالكامل (512→256→128) مدربة على تصنيف (خبيث/سليم)، ويتم استخراج طبقة التضمين ذات الـ 128 بُعداً لمهام التشابه.
4. النماذج القائمة على الأشجار (XGBoost):
   • مدربة على التصنيف الثنائي وتصنيف عائلات AVClass متعدد الفئات.
   • استخراج التضمين: استخدام مؤشر الورقة (Leaf-index) لـ 100 شجرة في المجموعة لإنشاء ناقل مكون من 100 بُعد (حيث تكون العينات التي تسلك مسارات متشابهة قريبة في الفضاء).

ج. مقاييس التقييم

تستخدم الدراسة مجموعة موحدة من المقاييس لتقييم كل من التصنيف والتشابه:

• التصنيف: الدقة (Accuracy)، الضبط (Precision)، الاستدعاء (Recall)، مقياس F1، والمساحة تحت المنحنى (AUC).
• جودة التشابه/التجميع:
  • درجة السيلويت (Silhouette Score): تقيس تماسك التجمعات والتباعد بينها.
    ٍمؤشر دافيز-بولدين (DBI): كلما انخفض كان أفضل؛ يقيس متوسط التشابه بين التجمعات.
  • مؤشر كالينسكي-هاراباز (CH): كلما ارتفع كان أفضل؛ يقيس نسبة التشتت بين التجمعات إلى التشتت داخل التجمعات.
  • تجانس الملصقات عند K (Label Homogeneity@K): النسبة المئوية لأقرب K جار تشترك في نفس الملصق مع العينة المستعلم عنها.

3. المساهمات الرئيسية

1. إطار عمل موحد للمقارنة المرجعية: أول مقارنة جنباً إلى جنب بين التجزئات الضبابية الكلاسيكية والتضمينات المتنوعة القائمة على التعلم (AE، DNN، XGBoost) على مجموعة بيانات مشتركة باستخدام مقاييس متسقة.
2. هندسة ميزات منهجية: خط معالجة قوي لتحويل بيانات PE الوصفية الخام إلى ناقلات ثابتة الطول مناسبة للنماذج القائمة على الأشجار والنماذج العصبية.
3. تحليل مقارن شامل: تقييم النهج غير الخاضعة للإشراف، والخاضعة للإشراف، والقائمة على الأشجار لكل من الكشف الثنائي وتجميع العائلات متعدد الفئات.
4. قابلية إعادة الإنتاج: الدراسة قابلة لإعادة الإنتاج بالكامل، مما يعالج طبيعة "الصندوق الأسود" للتقييمات المنعزلة السابقة.

4. النتائج الرئيسية

أ. أداء التصنيف

• الكشف الثنائي: تفوق XGBoost على التعلم العميق، محققاً دقة بنسبة 97.76% ومساحة تحت المنحنى (AUC) بلغت 0.9971.
• متعدد الفئات (AVClass): تفوق XGBoost مرة أخرى بدقة 90.55% (مقابل 80.15% للتعلم العميق) مع درجات macro-F1 متفوقة، مما يشير إلى قدرة أفضل على التعميم عبر عائلات البرمجيات الخبيثة النادرة.

ب. أداء التشابه والتجميع

• تجانس الملصقات:
  • المشفرات التلقائية (غير الخاضعة للإشراف): حققت أكثر من 80% من تجانس الملصقات في استعلامات Top-K، متفوقة بشكل كبير على ssdeep (حوالي 40%).
  • تضمينات التعلم العميق: أظهرت نقاءً فائقاً في الجوار (تجانس بنسبة 94.51% عند K=100) مقارنة بتضمينات مؤشر ورقة XGBoost (71.69% بدون ميزات AVClass).
• مقاييس التجميع:
  • أظهرت تضمينات التعلم العميق تباعداً أفضل بكثير بين التجمعات (درجة سيلويت أعلى، وDBI أقل) من تضمينات XGBoost، لا سيما في تجميع العائلات متعدد الفئات.
  • نتيجة حاسمة: الدقة العالية في التصنيف (XGBoost) لا تضمن بالضرورة فضاء تشابه مهيكلاً هندسياً بشكل جيد. حقق XGBoost أفضل تصنيف ولكن أسوأ مقاييس تجميع (درجة سيلويت سالبة لـ AVClass)، بينما وفر التعلم العميق فضاء تضمين أكثر تماسكاً.

ج. تحيز "الاختصار عبر الإشراف" (Supervision Shortcut Bias)

كشفت الدراسة أنه عندما يتم تدريب XGBoost باستخدام ملصقات AVClass كمدخلات، فإنه يحقق تجانساً شبه مثالي بنسبة 98%. ومع ذلك، يعد هذا "اختصاراً" لأن AVClass غالباً ما يكون مؤشراً مباشداً للعائلة. في سيناريوهات العالم الحقيقي حيث لا تتوفر AVClass، يتدهور أداء التشابه لـ XGBoost بشكل كبير مقارنة بالتضمينات العصبية.

5. الأهمية والخاتمة

• لا يوجد حل واحد مهيمن: لا يهيمن أي منهج على جميع الأبعاد. XGBoost هو الأفضل لـ التصنيف عالي الدقة، بينما التعلم العميق والمشفرات التلقائية هي الأفضل لـ توليد تضمينات تشابه قوية والتجميع.
• الحاجة إلى نهج هجين: يجب أن تدمج منصات تحليل البرمجيات الخبيثة الفعالة تقنيات متكاملة. الاعتماد فقط على دقة التصنيف لاستنتاج جودة التشابه هو أمر مضلل.
• القيود: اقتصرت الدراسة على الميزات الساكنة المستخرجة مسبقاً (مجموعة بيانات EMBER) ولم تتمكن من المقارنة المباشرة ضد التجزئات الضبابية للبايتات الخام (مثل TLSH) على الملفات الثنائية الخام.
• الاتجاهات المستقبلية: يقترح المؤلفون دمج ميزات التحليل الديناميكي (السلوك أثناء التشغيل) وتقييم القابلية للتوسع باستخدام البحث عن أقرب جار تقريبي (Approximate Nearest-Neighbor Search) على مجموعات الملفات الثنائية الخام.

الخلاصة النهائية: لعمليات صيد التهديدات وتجميع البرمجيات الخبيثة، توفر التضمينات القائمة على التعلم (خاصة التعلم العميق والمشفرات التلقائية) فضاء تشابه أكثر تماسكاً من الناحية الهيكلية من التجزئات الضبابية التقليدية أو مؤشرات أوراق الأشجار، حتى وإن كانت الأخيرة تقدم دقة تصنيف خام أفضل.