Separating Behavioral Effect from Predictive Value in Dynamic Android Malware Detection: An Empirical Decomposition Study
تُظهر هذه الدراسة التجريبية أنه في حين أن دمج ميزات وقت التشغيل من Strace وDroidBox يحسن الأداء التنبؤي بشكل كبير في الكشف الديناميكي عن برمجيات أندرويد الخبيثة، فإن الثراء السلوكي والمنفعة التنبؤية يظلان صفتين متمايزتين، حيث إن تأثيرات مدة التنفيذ وترتيب التسلسل لا تترجم باستمرار إلى تمييز أفضل.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تعمل مليارات من تطبيقات أندرويد كل يوم على الهواتف حول العالم، وتؤدي مهاماً تتراوح من إرسال الرسائل إلى إدارة الحسابات المصرفية. ولأن هذه التطبيقات منتشرة للغاية، فهي أيضاً الهدف الرئيسي للبرمجيات الخبيثة المصممة لسرقة البيانات أو إلحاق الضرر بالأجهزة. لسنوات، حاول الباحثون الأمنيون بناء أنظمة يمكنها رصد هذه التطبيقات السيئة قبل أن تسبب ضرراً. وأحد أكثر الطرق واعداً للقيام بذلك هو مراقبة كيفية سلوك التطبيق أثناء تشغيله. فبدلاً من مجرد قراءة الكود لمعرفة ما قد يفعله، يقوم نظام التحليل الديناميكي بتشغيل التطبيق فعلياً في بيئة معزولة وآمنة ويسجل كل إجراء يتخذه. قد يشمل ذلك محاولة التطبيق فتح اتصال شبكة، أو الوصول إلى قائمة جهات الاتصال، أو استدعاء وظيفة معينة في نظام تشغيل الهاتف. والأمل هو أن هذه الأفعال تترك بصمة فريدة تميز الأداة غير الضارة عن الفيروس الخطير.
ومع ذلك، فإن مراقبة تشغيل تطبيق ليست ببساطة التقاط صورة فوتوغرافية. فمدة الوقت الذي يُسمح للتطبيق بالعمل فيه، والترتيب المحدد الذي يؤدي به الأفعال، والأدوات المستخدمة لمراقبته، كلها عوامل يمكن أن تغير الصورة. إذا مُنح تطبيق خبيث وقتاً أطول، فقد يؤدي المزيد من الأفعال، مما يجعله يبدو أكثر نشاطاً من تطبيق غير ضار ينهي مهمته بسرعة فحسب. وبالمثل، قد تسجل أداتان مختلفتان سلوك التطبيق نفسه بطرق مختلفة قليلاً، مما يؤدي إلى ارتباك حول ما هو مهم حقاً. التحدي الجوهري للباحثين هو معرفة أي أجزاء من السلوك المسجل هي علامات حقيقية على وجود برمجيات خبيثة وأيها مجرد آثار جانبية لكيفية مدة تشغيل التطبيق أو الأداة المستخدمة. فبدون فصل هذه العوامل، قد ينخدع النظام الأمني بتطبيق غير ضار عمل لفترة طويلة، أو قد يفوت تطبيقاً خطيراً عمل لفترة قصرة.
قام فريق من الباحثين في جامعة سامسون بالعمل على فك تشابك هذه الخيوط المختلفة في دراسة جديدة. لم يخترعوا طريقة جديدة للإمساك بالبرمجيات الخبيثة أو يقترحوا نوعاً جديداً من برامج الكمبيوتر للقيام بعملية الإمساك. بدلاً من ذلك، ركزوا على قياس مدى مساهمة قطع مختلفة من المعلومات في القرار النهائي. بدأوا بمجموعة ضخمة من التطبيقات، حيث اختاروا بعناية آلاف التطبيقات الآمنة المعروفة والآخرى الخبيثة المعروفة. ولضمان مقارنة عادلة، قاموا بتشغيل كل تطبيق لمدة زمنية متساوية تماماً — خمس دقائق — وسجلوا نوعين مختلفين من البيانات لكل منها. كان النوع الأول من البيانات عبارة عن سجل منخفض المستوى لكل طلب قدمه التطبيق لنظام تشغيل الهاتف، وهو ما يعرف باسم "استدعاء النظام" (system call). أما النوع الثاني فكان ملخصاً رفيع المستوى لما فعله التطبيق بالفعل، مثل إرسال رسالة نصية أو الاتصال بموقع ويب معين.
نظر الباحثون أولاً في كيفية تأثير طول مدة تشغيل التطبيق على البيانات التي جمعوها. ووجدوا ارتباطاً قوياً بين مدة تشغيل التطبيق وعدد استدعاءات النظام التي قام بها؛ وبعبارة أخرى، كلما زادت مدة تشغيل التطبيق، زادت الأفعال التي قام بها. خلق هذا مشكلة لأن التطبيق الآمن الذي يعمل لفترة طويلة يمكن أن يبدو نشطاً مثل تطبيق خبيث يعمل لفترة قصيرة. ولإصلاح ذلك، قاموا بتعديل البيانات لتظهر معدل الأفعال في الثانية بدلاً من العدد الإجمالي. قلل هذا التعديل بشكل كبير من تأثير الوقت على البيانات، لكنه لم يجعل البيانات مثالية. في الواقع، اكتشفوا أن ما إذا كان هذا التعديل سيساعد أو يضر القدرة على رصد البرمجيات الخبيثة يعتمد كلياً على خوارزمية الكمبيوتر المحددة المستخدمة لتحليل البيانات. فبالنسبة لبعض الخوارزميات، كان العدد الخام للأفعال أفضل، وبالنسبة لأخرى، كان المعدل أفضل. أظهر هذا أنه لا توجد طريقة واحدة "مثلى" لإعداد البيانات تعمل مع كل أداة.
بعد ذلك، حقق الفريق في الترتيب الذي يؤدي به التطبيق أفعاله. بحثوا عن أنماط محددة، مثل فعل يتبعه مباشرة فعل آخر، والذي قد يكون توقيعاً لسلوك خبيث. ووجدوا أن العديد من هذه الأنماط كانت بالفعل أكثر شيوعاً في التطبيقات الخبيثة منها في التطبيقات الآمنة. ومع ذلك، عندما حاولوا استخدام ملخص مبسط لهذه الأنماط للتنبؤ بالبرمجيات الخبيثة، كان التحسن ضئيلاً جداً. لم يضف الملخص أي قيمة جديدة تقريباً بمجرد أن امتلك الباحثون القائمة التفصيلية للأفعال والملخص رفيع المستوى لما قام به التطبيق. يشير هذا إلى أنه على الرغم من أن ترتيب الأفعال يحتوي على معلومات مثيرة للاهتمام، إلا أن ملخصاً بسيطاً لهذا الترتيب ليس كافياً لتعزيز الكشف بشكل كبير بمفرده.
جاءت أهم نتيجة للدراسة من مقارنة النوعين المختلفين من البيانات التي جمعوها: استدعاءات النظام منخفضة المستوى وملخص النشاط رفيع المستوى. فعندما دمج الباحثون هذين المنظورين، تحسنت القدرة على تحديد البرمجيات الخبيثة بشكل أكبر مما كانت عليه عند استخدام أي من المنظورين بمفرده. فقد رصدت البيانات منخفضة المستوى الأشياء التي فاتتها البيانات رفيعة المستوى، ورصدت البيانات رفيعة المستوى الأشياء التي فاتت البيانات منخفضة المستوى. لقد أكدوا أن هذين المنظورين قدما معلومات فريدة وغير متكررة. ومن خلال دمجهما معاً، تمكنت أفضل نماذج الكمبيوتر التي اختبروها من التمييز بين التطبيقات الآمنة والخبيثة بدرجة عالية جداً من الدقة، حيث حددت الجزء الأكبر من الحالات بشكل صحيح.
تخلص الدراسة إلى أن نجاح نظام الكشف عن البرمجيات الخبيثة يعتمد على الفصل الدقيق بين الإشارة والضجيج. لا يكفي مجرد جمع البيانات والأمل في أن يستنتج الكمبيوتر الأمر. يجب على الباحثين مراعاة مدة تشغيل التطبيق، وفهم أن الأدوات المختلفة ترى العالم بشكل مختلف، والإدراك بأن دمج أنواع مختلفة من الأدلة غالباً ما يكون أكثر قوة من الاعتماد على نوع واحد فقط. يوضح العمل أن الإثراء السلوكي والقيمة التنبؤية هما خاصيتان متمايزتان؛ فقد يكون الفعل شائعاً جداً في البرمجيات الخبيثة ولكنه يضيف القليل إلى التنبؤ النهائي إذا تم التقاطه بالفعل بواسطة جزء آخر من البيانات. ومن خلال اختبار هذه المكونات بصرامة، قدم الباحثون خارطة طريق واضحة لما ينجح فعلياً في التحليل الديناميكي، مما يوفر أساساً أكثر موثوقية لبناء أنظمة أمنية مستقبلية يمكنها حماية المستخدمين في مشهد رقمي دائم التغير.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.