Sintesi Tecnica: FDM – Un framework per il processo decisionale nella costruzione di sistemi di rilevamento malware basati su ML

1. Definizione del Problema

La rapida evoluzione dei malware, caratterizzata da sofisticate tecniche di evasione (ad esempio, polimorfismo, offuscamento) e exploit zero-day, ha reso sempre più inefficace il tradizionale rilevamento basato su firme. Sebbene l'Apprendimento Automatico (ML) e l'Apprendimento Profondo (DL) offrano alternative promettenti identificando pattern comportamentali piuttosto che firme statiche, l'attuale panorama della ricerca è frammentato. Gli studi esistenti propongono tipicamente configurazioni ML specifiche ottimizzate per vincoli ristretti (ad esempio, un singolo dataset o un tipo di analisi) senza fornire una guida sistematica ai professionisti che operano in ambienti operativi diversificati.

Costruire un sistema efficace di rilevamento malware basato su ML comporta la gestione di un panorama complesso e interdipendente di decisioni: estrazione delle caratteristiche (statica vs dinamica), architettura del modello (classica vs deep) e strategie di aggiornamento. In assenza di una metodologia strutturata, i professioni spesso compiono scelte ad hoc che non riescono a bilanciare le prestazioni di rilevamento, il consumo di risorse (RAM, CPU) e la manutenibilità a lungo termine. Il problema centrale affrontato è la mancanza di un framework guidato dal contesto e basato su principi per selezionare la configurazione ML ottimale dato i diversi vincoli organizzativi, le caratteristiche dei dati e i requisiti operativi.

2. Metodologia: Il Framework FDM

Gli autori propongono il Framework for Decision-making to build ML-based Malware detection systems (FDM). Questo framework formalizza il processo di selezione della configurazione utilizzando un Weighted Configuration Compatibility Score (WCCS), una funzione di punteggio multi-criterio.

A. Dimensioni di Input (Vincoli Operativi)

Il framework accetta cinque parametri di input quantificabili che rappresentano il contesto operativo:

1. Indice di Vincolo della Piattaforma (Q1): Limiti di risorse dell'ambiente di distribuzione target (ad esempio, mobile/edge vs cluster ad alte prestazioni).
2. Indice del Budget di Risorse (Q2): Memoria e calcolo disponibili per l'addestramento/inferenza (ad esempio, risorse limitate <4GB RAM vs alte prestazioni >16GB RAM).
3. Livello di Latenza di Risposta (Q3): Velocità di inferenza richiesta (offline/batch vs tempo reale rigoroso <100ms).
4. Punteggio di Frequenza di Aggiornamento (Q4): Cadenza del riaddestramento del modello (una tantum vs aggiornamenti quotidieri continui).
5. Rapporto di Sensibilità (Q5): Il costo operativo relativo dei Falsi Negativi rispetto ai Falsi Positivi (sensibile ai FN vs sensibile ai FP).

B. Dimensioni di Output (Raccomandazioni di Configurazione)

In base agli input, l'algoritmo WCCS genera raccomandazioni classificate attraverso nove dimensioni di configurazione:

• Acquisizione Dati (P1): Selezione della sorgente (pubblica, privata o interna).
• Ingegneria delle Caratteristiche (P3.1–P3.3): Tipo di estrazione (statica, dinamica, ibrida), pre-elaborazione e selezione delle caratteristiche.
• Selezione del Modello (P2.1): Classifica dei modelli ML (ad esempio, RF, XGBoost, LSTM, CNN).
• Ottimizzazione degli Iperparametri (P2.2–P2.3): Spazio di ricerca e parametri fissi.
• Strategia di Manutenzione (P4, P5): Meccanismi di aggiornamento (Transfer Learning vs Class-Incremental Learning) e obiettivi di sensibilità.

Il WCCS calcola un punteggio di compatibilità per ogni configurazione candidata pesando l'allineamento tra le capacità del candidato e i cinque vincoli di input. La configurazione con il punteggio più alto viene raccomandata.

C. Validazione Empirica

Per validare il framework e calibrare i pesi di punteggio, gli autori hanno condotto quattro esperimenti su tre dataset eterogenei:

1. Dataset privato di chiamate API Windows: 8 famiglie di malware + benigno.
2. Dataset Malimg: 9.339 immagini di malware in scala di grigi da 25 famiglie.
3. Dataset pubblico di API statiche Android: 15.036 applicazioni.

Gli esperimenti hanno affrontato cinque domande di ricerca confrontando modelli classici vs modelli deep, valutando il transfer learning, il class-incremental learning e l'estrazione di caratteristiche basata su autoencoder.

3. Contributi Chiave

1. Framework Decisionale Quantificabile: L'FDM codifica gli obiettivi operativi in un sistema di punteggio matematico (WCCS) che produce raccomandazioni di configurazione ML classificate e contestualmente appropriate, andando oltre le soluzioni "one-size-fits-all".
2. Benchmark Empirici Esaustivi: Lo studio fornisce confronti diretti tra modelli classici (RF, XGBoost, SVM) e modelli di deep learning (LSTM, BiLSTM, CNN) attraverso compiti di classificazione binaria, classificazione multi-classe, apprendimento incrementale e apprendimento per trasferimento.
3. Validazione della Dipendenza dal Contesto: Gli esperimenti dimostrano che nessun singolo modello domina tutti gli scenari. Ad esempio, la superiorità del deep learning nei compiti binari non si traduce necessariamente in compiti multi-classe, e i benefici del transfer learning sono dipendenti dalla modalità.
4. Scenari Illustrativi: Il documento dimostra l'utilità del framework attraverso tre distinti scenari di distribuzione (sicurezza edge IoT, difesa ransomware per PMI, protezione delle infrastrutture critiche), mostrando come lo stesso framework si adatti a vincoli drasticamente diversi.

4. Risultati Chiave e Conclusioni

I risultati sperimentali hanno prodotto approfondimenti specifici che hanno informato la logica di raccomandazione dell'FDM:

• Classificazione Binaria (basata su API): XGBoost ha ottenuto il miglior rapporto accuratezza-risorse (accuratezza del test del 97,46%, <70 MB di RAM), superando LSTM e BiLSTM. I modelli deep consumavano fino a 2,8 GB di RAM (circa 40 volte di più) per guadagni marginali o negativi in termini di accuratezza.
• Classificazione Multi-classe: La classifica si è invertita. I modelli classici (XGBoost, 79,03%) hanno superato significativamente i modelli ricorrenti deep (BiLSTM, 72,27%). Ciò suggerisce che i modelli sequenziali deep richiedono corpora di addestramento per classe sostanzialmente più ampi per generalizzare efficacemente tra più famiglie.
• Apprendimento Incrementale di Classe (CIL): EfficientNetB0 (CNN) ha mantenuto un'accuratezza del 99,13% con una degradazione di soli 0,65 punti percentuali attraverso 11 step incrementali, dimostrando una resistenza superiore al "catastrophic forgetting" rispetto ai modelli basati su alberi (XGBoost: calo di 2,33 pp).
• Transfer Learning: Il pre-addestramento su ImageNet ha ridotto il tempo di addestramento in media di 2,14× sui dati malware basati su immagini (Malimg) senza perdite significative di accuratezza. Tuttavia, questo beneficio non si è tradotto nelle sequenze di chiamate API o nelle autorizzazioni Android, dove le caratteristiche di ImageNet hanno fornito poco bias induttivo.
• Pre-elaborazione con Autoencoder: L'uso di un autoencoder per comprimere le caratteristiche ha prodotto un'accelerazione dell'addestramento di 14× e un'accelerazione dell'inferenza di 4,3×, con un costo minimo in termini di accuratezza di solo 0,86 punti percentuali. Questo lo rende un'opzione valida per ambienti con latenza limitata.

5. Significato e Rivendicazioni

Il documento afferma che l'FDM colma una lacuna critica nella ricerca sulla cybersecurity: la mancanza di una guida sistematica per la selezione delle tecniche di ML in diversi contesti operativi.

• Dipendenza dal Contesto: Il risultato principale è che la configurazione ML "ottimale" non è assoluta ma dipende strettamente dai vincoli operativi (piattaforma, risorse, latenza, frequenza di aggiornamento e sensibilità).
• Utilità Pratica: Mappando i risultati empirici nel meccanismo di punteggio WCCS, il framework consente ai professionisti di prendere decisioni informate e basate sui dati invece di affidarsi a risultati di ricerca frammentati e isolati.
• Fattibilità: Lo studio dimostra che un processo di selezione strutturato e consapevole dei vincoli è sia necessario che fattibile, permettendo alle organizzazioni di bilanciare un'elevata prestazione di rilevamento con l'efficienza delle risorse e la manutenibilità a lungo termine.

Gli autori concludono che, sebbene l'FDM fornisca una base robusta per la selezione della configurazione, non sostituisce la necessità di competenza nel dominio, in particolare per quanto riguarda la gestione delle minacce avversarie o i requisiti di spiegabilità, che sono identificati come aree per estensioni future.