Related Families, Not Label Errors: A Case Study of a Failure Mode in Open-World Malware Evaluation on BODMAS
Questo articolo dimostra che la scarsa prestazione del rilevamento di malware in un contesto open-world sul benchmark BODMAS non è causata da errori di etichettatura o difetti del rilevatore, ma dalla presenza di famiglie strettamente correlate nel set di addestramento che rendono i campioni "novelli" tenuti da parte in realtà familiari per i metodi di scoring della novità non supervisionati.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, i ricercatori di sicurezza costruiscono programmi progettati per agire come sentinelle, scansionando costantemente alla ricerca di software malevoli che minacciano i computer. Questi programmi sono addestrati per riconoscere minacce note, ma la vera sfida risiede nel "mondo aperto", dove compaiono ogni giorno tipi di malware completamente nuovi. Per testare se queste sentinelle siano davvero pronte per l'ignoto, i ricercatori utilizzano un metodo specifico: nascondono un intero gruppo di software dannosi noti al programma di addestramento e poi chiedono: "Il tuo sistema riesce a individuare questo nuovo gruppo come qualcosa che non ha mai visto prima?". Se il sistema segnala il gruppo nascosto come uno straniero, supera il test. Questo processo presuppone che il gruppo nascosto sia genuinamente unico e non abbia parenti stretti nei dati di addestramento. Se il gruppo nascosto è in realtà un cugino di un gruppo che il sistema già conosce, il test fallisce, non perché il sistema sia debole, ma perché la domanda posta è fallace.
Un team di ricercatori ha recentemente indagato su un fallimento misterioso in uno dei test più rispettati per il rilevamento del malware, noto come BODMAS. Hanno scoperto che quando rimuovevano una specifica famiglia di malware chiamata berbew dai dati di addestramento, il sistema di rilevamento falliva clamorosamente. Invece di segnalare i campioni nascosti come nuove minacce, il sistema li etichettava con sicurezza come software noti e sicuri. I risultati erano così scarsi che il sistema si comportava peggio di un tentativo casuale. A prima vista, questo sembrava un fallimento catastrofico della tecnologia di rilevamento. Tuttavia, i ricercatori hanno scoperto che la colpa non risiedeva nell'intelligenza del software, ma nella struttura stessa del test. La famiglia berbew nascosta aveva un parente molto stretto, chiamato qukart, che rimaneva nei dati di addestramento. Poiché i due gruppi erano molto simili nelle loro impronte digitali, il sistema riconosceva correttamente che i campioni nascosti appartenevano a una famiglia che già conosceva, anche se non conosceva il nome specifico del gruppo nascosto. Il test penalizzava il sistema per essere stato accurato riguardo alla relazione tra i due gruppi.
Per dimostrare questo, i ricercatori hanno condotto un esperimento controllato. Hanno rimosso contemporaneamente le famiglie di malware berbew e qukart dai dati di addestramento, assicurandosi che non venissero lasciati indietro parenti stretti. Quando hanno eseguito nuovamente il test, le prestazioni del sistema sui campioni berbew sono schizzate da un punteggio di fallimento a un rilevamento quasi perfetto. Questo cambiamento drammatico ha confermato che il fallimento originale era causato dalla presenza di una famiglia correlata nel set di addestramento, non da un difetto nell'algoritmo di rilevamento. I ricercatori sono stati meticolosi nel escludere altre spiegazioni comuni. Hanno auditato l'intero dataset, controllando migliaia di coppie di famiglie di malware per vedere se fossero in realtà duplicati con nomi diversi, il che avrebbe potuto causare la confusione. Non hanno trovato duplicati tra le coppie più sospette. Hanno anche esaminato le convenzioni di denominazione utilizzate dai vendor di antivirus, che spesso raggruppano malware correlati sotto un unico nome di lignaggio. Hanno scoperto che questi nomi non predicevano il problema; in un caso documentato, tre famiglie erano considerate parte dello stesso lignaggio, ma solo due di esse erano effettivamente abbastanza vicine da confondere il sistema. La terza era distinta, dimostrando che affidarsi solo ai nomi avrebbe fuso i gruppi sbagliati e mancato il problema reale.
Lo studio ha inoltre rivelato che questa confusione era specifica del modo in cui il sistema misurava la "novità". I ricercatori hanno testato diversi approcci matematici per individuare l'ignoto. Hanno scoperto che qualsiasi metodo che confrontasse un campione con un riepilogo globale e ampio di tutto il software noto fallirebbe in presenza di un parente stretto. Tali metodi vedrebbero il campione nascosto come normale perché vicino al parento noto. Tuttavia, un approccio diverso, che confrontava un campione solo con i suoi vicini più prossimi, ha ottenuto prestazioni migliori. Non ha dato la risposta completamente corretta, ma non ha ribaltato totalmente il risultato, suggerendo che guardare ai dettagli locali piuttosto che a una media globale sia una strategia più sicura quando esistono parenti stretti. I ricercatori hanno anche notato che un sistema supervisionato, che era stato autorizzato a usare i nomi delle famiglie durante l'addestramento, poteva separare efficacementamente i due gruppi, provando che le etichette erano corrette e le famiglie erano distinte, sebbene molto simili.
La lezione fondamentale di questo lavoro è che il modo in cui testiamo il software di sicurezza deve cambiare. Semplicemente riportare un singolo punteggio medio su quanto bene un sistema rilevi nuove minacce nasconde questi fallimenti critici. I ricercatori sostengono che, prima di dichiarare un test di successo, dobbiamo prima misurare quanto siano strettamente correlati i gruppi nascosti ai gruppi utilizzati per l'addestramento. Se un gruppo nascosto ha un cugino stretto nel set di addestramento, il test non sta misurando la capacità di trovare il veramente ignoto; sta misurando la capacità di distinguere tra elementi molto simili già noti. La soluzione non è rimuovere queste famiglie correlate dal test, poiché rappresentano minacce realistiche che i team di sicurezza devono gestire. Invece, i ricercatori dovrebbero riportare i risultati separatamente per le famiglie che hanno parenti stretti e quelle che non ne hanno. Questa trasparenza assicura che un sistema non venga ingiustamente punito per aver identificato correttamente un lignaggio noto, e fornisce un quadro più chiaro di dove si trovi realmente la tecnologia. Documentando questo specifico modo di fallimento e i passaggi intrapresi per comprenderlo, i ricercatori sperano di evitare che altri ripetano gli stessi errori e di incoraggiare una valutazione più onesta di quanto le nostre sentinelle digitali possano realmente vedere l'ignoto.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.