Separating Behavioral Effect from Predictive Value in Dynamic Android Malware Detection: An Empirical Decomposition Study
यह अनुभवजन्य अध्ययन यह प्रदर्शित करता है कि जबकि Strace और DroidBox रनटाइम विशेषताओं को फ्यूज करने से डायनेमिक एंड्रॉइड मैलवेयर डिटेक्शन में भविष्य कहनेवाला प्रदर्शन (predictive performance) में महत्वपूर्ण सुधार होता है, व्यवहार संबंधी समृद्धि (behavioral richness) और भविष्य कहनेवाला उपयोगिता (predictive utility) विशिष्ट गुण बने रहते हैं, क्योंकि निष्पादन अवधि (execution duration) और अनुक्रम क्रमणन (sequence ordering) के प्रभाव लगातार बेहतर विभेदन (discrimination) में परिवर्तित नहीं होते हैं।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
हर दिन, दुनिया भर के फोनों पर अरबों एंड्रॉइड एप्लिकेशन चलते हैं, जो संदेश भेजने से लेकर बैंक खातों के प्रबंधन तक के कार्य करते हैं। चूंकि ये ऐप्स इतने व्यापक हैं, इसलिए वे डेटा चुराने या उपकरणों को नुकसान पहुंचाने के लिए डिज़ाइन किए गए दुर्भावनापूर्ण सॉफ़्टवेयर (मैलवेयर) के प्राथमिक लक्ष्य भी हैं। वर्षों से, सुरक्षा शोधकर्ता ऐसे सिस्टम बनाने की कोशिश कर रहे हैं जो इन बुरे ऐप्स को नुकसान पहुँचाने से पहले ही पहचान सकें। ऐसा करने का सबसे आशाजनक तरीकों में से एक यह देखना है कि ऐप चलते समय कैसा व्यवहार करता है। केवल कोड को यह देखने के लिए पढ़ने के बजाय कि वह क्या कर सकता है, एक डायनेमिक विश्लेषण प्रणाली वास्तव में ऐप को एक सुरक्षित, अलग वातावरण में चलाती है और उसके द्वारा की जाने वाली हर कार्रवाई को रिकॉर्ड करती है। इसमें ऐप द्वारा नेटवर्क कनेक्शन खोलने, संपर्क सूची (कॉन्टैक्ट लिस्ट) तक पहुँचने, या फोन के ऑपरेटिंग सिस्टम में एक विशिष्ट फ़ंक्शन को कॉल करने का प्रयास करना शामिल हो सकता है। उम्मीद यह है कि ये क्रियाएं एक अनूठा 'फिंगरप्रिंट' छोड़ेंगी जो एक हानिरहित उपयोगिता (यूटिलिटी) को एक खतरनाक वायरस से अलग करती हैं।
हालाँकि, किसी ऐप को चलते हुए देखना एक तस्वीर लेने जितना सरल नहीं है। ऐप को चलने के लिए दी जाने वाली अवधि, क्रियाएं करने का विशिष्ट क्रम, और निगरानी के लिए उपयोग किए जाने वाले उपकरण, ये सभी तस्वीर को बदल सकते हैं। यदि किसी दुर्भावनापूर्ण ऐप को अधिक समय दिया जाता है, तो वह अधिक क्रियाएं कर सकता है, जिससे वह एक ऐसे हानिरहित ऐप की तुलना में अधिक सक्रिय दिखाई दे सकता है जो अपना कार्य जल्दी समाप्त कर देता है। इसी तरह, दो अलग-अलग उपकरण एक ही ऐप के व्यवहार को थोड़े अलग तरीकों से रिकॉर्ड कर सकते हैं, जिससे इस बात को लेकर भ्रम पैदा हो सकता है कि वास्तव में महत्वपूर्ण क्या है। शोधकर्ताओं के लिए मुख्य चुनौती यह पता लगाना है कि रिकॉर्ड किए गए व्यवहार के कौन से हिस्से वास्तविक मैलवेयर के संकेत हैं और कौन से हिस्से इस बात के दुष्प्रभाव हैं कि ऐप कितनी देर तक चला या किस उपकरण का उपयोग किया गया। इन कारकों को अलग किए बिना, एक सुरक्षा प्रणाली एक ऐसे हानिरहित ऐप द्वारा मूर्ख बनाई जा सकती है जो लंबे समय तक चला, या यह एक ऐसे खतरनाक ऐप को मिस कर सकती है जो कम समय के लिए चला।
संसुन यूनिवर्सिटी के शोधकर्ताओं की एक टीम ने एक नए अध्ययन में इन विभिन्न धागों को सुलझाने का प्रयास किया। उन्होंने मैलवेयर को पकड़ने का कोई नया तरीका नहीं बनाया और न ही पकड़ने के लिए किसी नए प्रकार के कंप्यूटर प्रोग्राम का प्रस्ताव दिया। इसके बजाय, उन्होंने इस बात को मापने पर ध्यान केंद्रित किया कि सूचना के विभिन्न हिस्से अंतिम निर्णय में कितना योगदान देते हैं। उन्होंने अनुप्रयोगों (एप्लिकेशन्स) के एक विशाल संग्रह से शुरुआत की, जिसमें सावधानीपूर्वक हजारों ज्ञात सुरक्षित ऐप्स और ज्ञात दुर्भावनापूर्ण ऐप्स को चुना गया। एक निष्पक्ष तुलना सुनिश्चित करने के लिए, उन्होंने प्रत्येक ऐप को ठीक समान समय—पाँच मिनट—के लिए चलाया और प्रत्येक के लिए दो अलग-अलग प्रकार का डेटा रिकॉर्ड किया। डेटा का पहला प्रकार फोन के ऑपरेटिंग सिस्टम को किए गए प्रत्येक अनुरोध का एक निम्न-स्तरीय लॉग था, जिसे 'सिस्टम कॉल' के रूप में जाना जाता है। दूसरा प्रकार डेटा का उच्च-स्तरीय सारांश था कि ऐप ने वास्तव में क्या किया, जैसे कि एक टेक्स्ट संदेश भेजना या किसी विशिष्ट वेबसाइट से जुड़ना।
शोधकर्ताओं ने पहले यह देखा कि ऐप के चलने की अवधि ने उनके द्वारा एकत्र किए गए डेटा को कैसे प्रभावित किया। उन्होंने पाया कि ऐप के चलने की अवधि और उसके द्वारा किए गए सिस्टम कॉल की संख्या के बीच एक मजबूत संबंध था; सरल शब्दों में, ऐप जितना लंबा चलता, वह उतनी ही अधिक क्रियाएं करता। इसने एक समस्या पैदा की क्योंकि एक लंबे समय तक चलने वाला सुरक्षित ऐप एक छोटे समय तक चलने वाले दुर्भावनापूर्ण ऐप के समान सक्रिय दिख सकता था। इसे ठीक करने के लिए, उन्होंने डेटा को कुल संख्या के बजाय प्रति सेकंड क्रियाओं की दर दिखाने के लिए समायोजित किया। इस समायोजन ने डेटा पर समय के प्रभाव को काफी कम कर दिया, लेकिन इसने डेटा को पूर्ण नहीं बनाया। वास्तव में, उन्होंने पाया कि इस समायोजन से मैलवेयर को पहचानने की क्षमता में सुधार हुआ या गिरावट आई, यह पूरी तरह से डेटा का विश्लेषण करने के लिए उपयोग किए जा रहे विशिष्ट कंप्यूटर एल्गोरिदम पर निर्भर करता है। कुछ एल्गोरिदम के लिए, क्रियाओं की कच्ची संख्या (raw count) बेहतर थी; अन्य के लिए, दर (rate) बेहतर थी। इससे पता चला कि डेटा तैयार करने का कोई एक "सर्वश्रेष्ठ" तरीका नहीं है जो हर टूल के लिए काम करे।
इसके बाद, टीम ने ऐप द्वारा अपने कार्यों को करने के क्रम की जांच की। उन्होंने विशिष्ट पैटर्न की तलाश की, जैसे कि एक क्रिया के तुरंत बाद दूसरी क्रिया का होना, जो दुर्भावनापूर्ण व्यवहार का संकेत हो सकता है। उन्होंने पाया कि इनमें से कई पैटर्न वास्तव में सुरक्षित ऐप्स की तुलना में दुर्भावनापूर्ण ऐप्स में बहुत अधिक सामान्य थे। हालाँकि, जब उन्होंने इन पैटर्न के अनुमान लगाने के लिए एक सरलीकृत सारांश का उपयोग किया, तो सुधार बहुत कम था। एक बार जब शोधकर्ताओं के पास पहले से ही क्रियाओं की विस्तृत सूची और ऐप द्वारा की गई गतिविधियों का उच्च-स्तरीय सारांश उपलब्ध था, तो इस सारांश ने लगभग कोई नया मूल्य नहीं जोड़ा। यह सुझाव देता है कि हालांकि क्रियाओं का क्रम दिलचस्प जानकारी रखता है, लेकिन उस क्रम का एक सरल सारांश अकेले पहचान को महत्वपूर्ण रूप से बढ़ाने के लिए पर्याप्त नहीं है।
अध्ययन का सबसे महत्वपूर्ण निष्कर्ष उनके द्वारा एकत्र किए गए दो अलग-अलग प्रकार के डेटा की तुलना से आया: निम्न-स्तरीय सिस्टम कॉल और उच्च-स्तरीय गतिविधि सारांश। जब शोधकर्ताओं ने इन दोनों दृश्यों को मिलाया, तो मैलवेयर को सही ढंग से पहचानने की क्षमता तब बेहतर हुई जब उन्होंने इनमें से किसी भी एक दृश्य का अकेले उपयोग किया। निम्न-स्तरीय डेटा ने उन चीजों को पकड़ा जो उच्च-स्तरीय डेटा से छूट गई थीं, और उच्च-स्तरीय डेटा ने उन चीजों को पकड़ा जो निम्न-स्तरीय डेटा से छूट गई थीं। उन्होंने पुष्टि की कि इन दोनों दृश्यों ने अद्वितीय, गैर-अतिव्यापी (non-redundant) जानकारी प्रदान की। उन्हें आपस में जोड़कर, परीक्षण किए गए सर्वश्रेष्ठ कंप्यूटर मॉडल सुरक्षित और दुर्भावनापूर्ण ऐप्स के बीच बहुत उच्च स्तर की सटीकता के साथ अंतर करने में सक्षम थे, और अधिकांश मामलों की सही पहचान करने में सफल रहे।
अध्ययन यह निष्कर्ष निकालता है कि एक मैलवेयर डिटेक्शन सिस्टम की सफलता शोर (noise) से सिग्नल को सावधानीपूर्वक अलग करने पर निर्भर करती है। केवल डेटा एकत्र करना और यह उम्मीद करना पर्याप्त नहीं है कि कंप्यूटर इसे समझ लेगा। शोधकर्ताओं को यह समझना चाहिए कि ऐप कितनी देर तक चला, यह समझना चाहिए कि विभिन्न उपकरण दुनिया को अलग तरह से देखते हैं, और यह पहचानना चाहिए कि विभिन्न प्रकार के साक्ष्यों को जोड़ना अक्सर केवल एक पर निर्भर रहने की तुलना में अधिक शक्तिशाली होता है। उनका कार्य यह प्रदर्शित करता है कि व्यवहारिक संवर्धन (behavioral enrichment) और भविष्य कहनेवाला मूल्य (predictive value) अलग-अलग गुण हैं; एक क्रिया मैलवेयर में बहुत सामान्य हो सकती है लेकिन यदि वह पहले से ही डेटा के किसी अन्य भाग द्वारा कैप्चर की जा चुकी है, तो वह अंतिम भविष्यवाणी में बहुत कम योगदान दे सकती है। इन घटकों का कठोरता से परीक्षण करके, शोधकर्ताओं ने एक स्पष्ट मानचित्र प्रदान किया कि डायनेमिक विश्लेषण में वास्तव में क्या काम करता है, जो भविष्य के सुरक्षा प्रणालियों के निर्माण के लिए एक अधिक विश्वसनीय आधार प्रदान करता है जो निरंतर बदलते डिजिटल परिदृश्य में उपयोगकर्ताओं की रक्षा कर सके।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।