Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
本研究は、23個の暗号化前Windows APIインジケーターを活用した不均一なANN–LightGBMスタッキングモデルが、ランサムウェアファミリーと良性ソフトウェアの分類において高い精度（95.20%）を達成できることを実証しており、単独のニューラルアーキテクチャを凌駕するプロアクティブな防御メカニズムを提示すると同時に、さらなる外部検証の必要性を浮き彫りにしている。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
デジタル界において、ランサムウェアとして知られる特定の種類の悪意のあるソフトウェアは、デジタルの人質に取る者のように振る舞います。一度コンピュータに侵入すると、ユーザーのファイルをロックし、その解放と引き換えに支払いを要求します。長年、セキュリティの専門家は、既知の悪質なプログラム特有のデジタルの指紋を探すことで、これらの攻撃を阻止しようと試みてきました。しかし、犯罪者たちはこれらの指紋を絶えず変化させているため、古い手法の効果は薄れつつあります。より現代的なアプローチは、プログラムが実行を開始した瞬間の挙動を監視することです。ランサムウェアプログラムがファイルを暗号化するという破壊的な工作を開始する前に、コンピュータの設定を確認したり、他のプログラムを探したりといった、一連の準備段階を踏まなければなりません。これらの初期のアクションは、被害が出る前にそのプログラムの真の性質を明らかにするデジタルの足跡を残します。課題は、これらの不審な初期段階と、あらゆるコンピュータプログラムが日常的に行う正常で無害な動作とを、いかに区別するかという点にあります。
ベンハ大学の研究チームは、これら極めて初期の挙動に基づいて異なる種類のランサムウェア・ファミリーを特定できるシステムを構築することで、この問題を解決しようと取り組みました。彼らは、ファイル暗号化が実際に始まる前の特定の時間枠に焦点を当てました。そのために、5種類の異なるタイプのランサムウェアと、安全な良性プログラムのグループを含む、3,432個のコンピュータプログラムのコレクションを集めました。各プログラムは、起動時に最初に行った23の特定のアクションについて分析されました。これらのアクションには、プログラムが自身の名前に関する情報をコンピュータに求めたり、ネットワークを確認したり、レジストリを調べたり、あるいはメモリへのアクセスを試みたりすることが含まれていました。研究者たちはこれらの観察結果を単純な「はい」か「いいえ」のインジケーターのリストへと変換し、各プログラムのコンパクトなプロファイルを作成しました。
研究者たちは、これらの短いアクションのリストからどのように学習するのが最善であるかを判断するために、いくつかの異なる種類の人工知能モデルをテストしました。彼らは、音声やテキストのような長いシーケンスのデータを処理するために通常使用されるものを含む、人間の脳にヒントを得たコンピュータシステムである5つの異なるニューラルネットワーク設計を試しました。また、AIをより賢くするために、重要度の低いアクションをいくつか取り除いた場合のメソッドもテストしました。結果は、この特定の種類の短く単純なデータに対しては、最も単純なニューラルネットワーク設計が単独で最も優れた性能を示し、プログラムのタイプを約94パーセントの確率で正しく特定したことを示しました。興味深いことに、長いシーケンス用に設計されたより複雑なモデルは顕著な優位性を示さず、この特定のタスクにおいては、よりシンプルなアプローチの方が効果的であることを示唆しています。
精度をさらに高めるために、チームは2つの異なる種類のAIモデルを単一の層状のシステムに組み合わせました。彼らは、直感的なニューラルネットワークを使用してプログラムの識別に関する初期の推測を行い、その推測を2番目の強力なツリーベースのモデルに渡して最終的な決定を洗練させました。「スタッキング」として知られるこの組み合わせたアプローチにより、システムの性能は向上し、精度は95パーセント強に達しました。このシステムは、異なるランサムウェア・ファミリー間を区別することに特に長けており、各特定のタイプに対するAUCスコアは0.92から0.99の範囲に及びました。しかし、システムは依然としていくつかのミスを犯しており、時として安全なプログラムをランサムウェア・ファミリーと混同したり、2つの異なる種類のランサムウェア同士を混ぜてしまったりすることがありました。
本研究は、初期の低レベルなアクションを監視することは、ランサムウェアが被害をもたらす前に捕らえるための実行可能な方法であり、異なるAI手法を組み合わせることで検出の信頼性を高められると結論付けています。しかし、研究者たちは、この成功が既知のプログラムを用いた制御された環境下で達成されたものであることを注意深く指摘しています。このシステムは、まだ未知の新しいタイプのランサムウェアや、多忙な企業ネットワークのような混沌としたリアルタイムの環境に対してはテストされていません。結果は有望ですが、この研究は即時の導入が可能な完成した製品というよりも、強力な概念実証（プルーフ・オブ・コンセプト）として機能するものです。それは、適切なデータとスマートなツールの組み合わせがあれば、最初のファイルがロックされる前にデジタルの攻撃の微かな兆候を察知することが可能であることを示しています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。