🤖 machine learning

Detecting Concept Drift in Evolving Malware Families Using Rule-Based Classifier Representations

Diese Arbeit schlägt einen strukturellen Ansatz zur Erkennung von Concept Drift in Malware-Familien vor, indem die Veränderung von Entscheidungsbaum-Regelsätzen über zeitliche Fenster hinweg mithilfe verschiedener Metriken quantifiziert wird.

Ursprüngliche Autoren: Tomáš Kalný, Martin Jureček, Mark Stamp

Veröffentlicht 2026-04-27

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Tomáš Kalný, Martin Jureček, Mark Stamp

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der „Chamäleon-Effekt“ der Schadsoftware

Stellen Sie sich vor, Sie sind ein Sicherheitsdienst in einem großen Museum. Sie haben eine Liste mit Beschreibungen von Dieben: „Trägt eine rote Mütze, hat einen Bart und nutzt ein Brecheisen.“ Ihr Team ist darauf trainiert, genau diese Personen sofort zu stoppen.

Das Problem: Die Diebe sind nicht dumm. Sobald sie merken, dass Sie auf rote Mützen achten, kaufen sie sich blaue Kapuzenpullover. Sobald Sie auf Bärte achten, rasieren sie sich. Die Diebe passen sich ständig an – sie „evolvieren“.

In der Computerwelt nennen wir das „Concept Drift“ (Konzeptdrift). Ein Antivirenprogramm lernt, wie ein Virus aussieht. Aber die Hacker ändern ständig die „Kleidung“ ihrer Viren (durch Verschlüsselung oder Code-Änderungen), um unentdeckt zu bleiben. Das Programm wird mit der Zeit „blind“, weil die alten Regeln nicht mehr auf die neuen Tricks passen.

Die Lösung der Forscher: Der „Regel-Detektiv“

Die Forscher (Kalný, Jureček und Stamp) haben sich gefragt: „Können wir nicht direkt beobachten, wie sich die Regeln unseres Sicherheitsdienstes verändern, um zu merken, dass die Diebe sich gerade umziehen?“

Anstatt nur zu schauen, ob die Diebe durchschlüpfen (was oft erst viel zu spät bemerkt wird), schauen sie sich die „Regelbücher“ der KI an.

Die Analogie: Das sich ändernde Gesetzbuch
Stellen Sie sich vor, Ihr Sicherheitsteam hat ein Regelbuch:

Regel 1: Wenn jemand eine rote Mütze trägt $\rightarrow$ Stoppen!
Regel 2: Wenn jemand ein Brecheisen hat $\rightarrow$ Stoppen!

Die Forscher nutzen Entscheidungsbäume (Decision Trees). Das sind im Grunde digitale Entscheidungsbäume oder Flussdiagramme. Wenn die KI merkt, dass sie plötzlich ganz andere Merkmale braucht (z. B. plötzlich nicht mehr auf die „Mütze“, sondern auf die „Schuhgröße“ achtet), dann ist das ein Warnsignal!

Wie sie das gemacht haben (Die Methode)

Die Forscher haben die KI nicht nur darauf trainiert, „Bösewichte“ von „Guten“ zu unterscheiden, sondern sie haben sie auch darauf trainiert, verschiedene Arten von Bösewichten voneinander zu unterscheiden (z. B. „Diebe aus Familie A“ vs. „Diebe aus Familie B“).

Sie haben dann vier verschiedene „Messgeräte“ erfunden, um den Wandel zu prüfen:

Wichtigkeit der Merkmale: Ändert sich, worauf die KI achtet? (Achten wir plötzlich auf andere Details?)
Zustimmung der Regeln: Sagen die alten Regeln und die neuen Regeln das Gleiche voraus?
Stabilität: Wie sehr „wackelt“ die Logik der KI?
Abdeckung: Wie viele Fälle werden von den neuen Regeln überhaupt noch erfasst?

Was kam dabei heraus? (Die Ergebnisse)

Der Vergleich der Familien ist der Schlüssel: Es ist viel einfacher zu merken, dass sich etwas verändert, wenn man versucht, zwei verschiedene „Diebes-Banden“ zu unterscheiden, als wenn man nur versucht, einen Dieb von einem harmlosen Museumsbesucher zu unterscheiden. Die „Guten“ (benigne Dateien) sind oft zu unauffällig, um den Wandel der „Bösen“ deutlich zu zeigen.
Der „Zwei-Monats-Rhythmus“: Die Forscher fanden heraus, dass man die Daten am besten in Zeitfenstern von etwa zwei Monaten betrachtet. Schaut man zu kurz (z. B. nur jede Woche), ist es zu unruhig; schaut man zu lang, verpasst man den Moment, in dem die Diebe ihre Taktik ändern.
Kein „Wundermittel“: Es gibt nicht die eine perfekte Messmethode. Manche Methoden zeigen den Wandel bei Virus-Familie A sehr gut, bei Familie B aber gar nicht. Man muss also mehrere „Detektive“ gleichzeitig einsetzen.

Warum ist das wichtig für uns?

Bisher haben wir oft erst gemerkt, dass ein Antivirenprogramm versagt hat, wenn der Schaden bereits angerichtet war (weil die Genauigkeit sank).

Die Methode dieser Forscher ist wie ein Frühwarnsystem. Bevor die KI Fehler macht, bemerkt sie, dass ihre eigenen „Denkmuster“ (die Regeln) nicht mehr zur Realität passen. Das gibt IT-Sicherheitsexperten die Chance, das System zu aktualisieren, bevor die Hacker die Lücke ausnutzen.

Zusammenfassend: Die Forscher haben einen Weg gefunden, die „Gedankengänge“ einer KI zu überwachen, um zu erkennen, wann sie beginnt, die Welt mit veralteten Augen zu sehen.

Zusammenfassung: Erkennung von Concept Drift in evolvierenden Malware-Familien mittels regelbasierter Klassifikator-Repräsentationen

Problemstellung

Die kontinuierliche Evolution von Malware durch Techniken wie Obfuskation, Packing und Verschlüsselung führt zu einem Phänomen namens Concept Drift. Dabei verändern sich die statistischen Eigenschaften der Zielvariablen über die Zeit, wodurch die Genauigkeit von Machine-Learning-Modellen (ML) stetig abnimmt. Ein zentrales Problem in der Cybersicherheit ist, dass herkömmliche Methoden zur Erkennung von Concept Drift oft auf dem sofortigen Zugriff auf korrekte Labels (Ground Truth) angewiesen sind – ein in der Praxis oft nicht möglicher, da die Identifizierung neuer Malware-Varianten Zeit benötigt. Zudem fehlt es vielen Modellen an Interpretierbarkeit, was die Validierung durch Sicherheitsanalysten erschwert.

Methodik

Die Autoren schlagen einen strukturellen Ansatz vor, der Concept Drift durch die Analyse von Entscheidungsbaum-Regelsätzen quantifiziert. Anstatt nur die Vorhersagegenauigkeit zu überwachen, untersuchen sie, wie sich die interne Logik des Klassifikators verändert.

Datensatz & Vorverarbeitung: Es wurde der EMBER2024-Datensatz verwendet. Um die Komplexität zu reduzieren und die Interpretierbarkeit zu erhöhen, wurde eine Merkmalsauswahl (SelectKBest) durchgeführt, die die Dimension von 2568 auf 10 hochrelevante Merkmale reduzierte.
Drift-Metriken (Strukturelle Analyse): Die Autoren entwickelten neue Metriken, um Veränderungen in den Regelsätzen zwischen zeitlichen Fenstern zu messen:
- Feature Importance Drift: Vergleich der Merkmalswichtigkeit (basierend auf der Häufigkeit und Länge der Regeln) mittels Kosinus-Ähnlichkeit, Euklidischer Distanz, Manhattan-Distanz und Pearson-Korrelation.
- Prediction Agreement: Anteil der Proben, bei denen zwei Regelsätze dieselbe Vorhersage treffen.
- Activation Stability: Ähnlichkeit der Aktivierungsraten einzelner Regeln über Zeitfenster hinweg.
- Coverage Metrics: Änderungen in der durchschnittlichen Abdeckung der Regeln.
Evaluations-Szenarien:
- Family-vs-Benign (FvB): Unterscheidung zwischen einer Malware-Familie und gutartiger Software.
- Family-vs-Family (FvF): Unterscheidung zwischen zwei eng verwandten Malware-Familien (dieser Ansatz erwies sich als sensitiver).
- Fensterung: Vergleich von festen Zeitintervallen (z. B. 2 Monate) gegenüber clustering-basierten Ansätzen (DBSCAN, KMeans), um Malware-Kampagnen zu identifizieren.
Ground-Truth-Vergleich: Die Drift-Metriken wurden mit zwei Indikatoren korreliert: dem Rückgang der Modellgenauigkeit und der Verschiebung der Datenverteilung (Data Distribution Shift).

Wesentliche Beiträge (Key Contributions)

Strukturelle Drift-Indikatoren: Einführung von Metriken, die auf der Repräsentation von Entscheidungsbäumen basieren und somit interpretierbare Einblicke in die Evolution der Erkennungslogik bieten.
Vergleich von Klassifikations-Settings: Nachweis, dass die Unterscheidung zwischen Malware-Familien (FvF) ein wesentlich zuverlässigerer Indikator für Drift ist als die Unterscheidung zwischen Malware und Benign-Software (FvB).
Validierung der Generalisierbarkeit: Nachweis, dass die vorgeschlagenen Metriken auch bei anderen regelbasierten Modellen wie RIPPER funktionieren.

Ergebnisse

Beste Konfiguration: Die effektivste Methode ist die FvF-Konfiguration mit festen 2-Monats-Fenstern. Hier lieferte die Pearson-Korrelation der Merkmalswichtigkeit die zuverlässigsten Ergebnisse (mittlere Spearman-Korrelation $\rho = 0,419$ ).
Korrelation: Die Ergebnisse zeigen, dass die strukturellen Änderungen in den Regeln positiv mit der Genauigkeitsdegradation korrelieren, insbesondere wenn man ein Zeitlag ( $k=1$ ) berücksichtigt (der Drift in Fenster $t$ sagt die Genauigkeit in $t+1$ voraus).
Komplementarität: Es wurde festgestellt, dass keine einzelne Metrik universell dominiert. Die strukturellen Metriken ergänzen bestehende Methoden wie Transcendent (die eher auf Stichproben-Abweichungen basiert), da sie die Veränderung der Entscheidungsgrenzen direkt erfassen.
Clustering vs. Fixed Windowing: Clustering-basierte Fensterung (DBSCAN/KMeans) erwies sich als weniger effektiv und instabiler als die feste zeitliche Fensterung.

Bedeutung (Significance)

Die Arbeit leistet einen wichtigen Beitrag zur erklärbaren KI (XAI) in der Cybersicherheit. Durch die Verknüpfung von Drift-Erkennung mit der Struktur von Entscheidungsbäumen erhalten Sicherheitsanalysten nicht nur die Information, dass ein Modell veraltet ist, sondern auch warum (welche Merkmale an Bedeutung verloren haben oder neue Regeln entstanden sind). Dies ermöglicht den Übergang von rein reaktiven zu adaptiven und vertrauenswürdigeren Malware-Erkennungssystemen.