🤖 machine learning

Detecting Concept Drift in Evolving Malware Families Using Rule-Based Classifier Representations

Dit onderzoek stelt een structurele methode voor om concept drift in evoluerende malwarefamilies te detecteren door beslisboomregels te analyseren op basis van metrieken zoals feature-belangrijkheid en voorspellingsconsistentie.

Oorspronkelijke auteurs: Tomáš Kalný, Martin Jureček, Mark Stamp

Gepubliceerd 2026-04-27

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Tomáš Kalný, Martin Jureček, Mark Stamp

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een uitsmijter bent bij een club. Je hebt een lijstje met regels: "Geen petjes", "Geen slippers" en "Geen te korte broeken". In het begin werkt dit perfect. Maar na een paar maanden veranderen de trends. De jongeren komen niet meer in slippers, maar dragen ineens hippe, designer sandalen. Of ze dragen geen petjes meer, maar heel veel zonnebrillen binnen.

Als jij je regels niet aanpast, laat je de verkeerde mensen binnen (of houd je de goede mensen onterecht buiten). Dat is precies wat er gebeurt met computervirussen (malware). Ze veranderen constant van 'uiterlijk' om detectiesystemen te slim af te zijn. In de wetenschap noemen we dit 'Concept Drift'.

Dit onderzoek beschrijft een nieuwe manier om te zien wanneer die "mode" in virussen verandert, zodat we onze digitale uitsmijters kunnen waarschuwen.

De kern van het onderzoek: De "Regel-Check"

Normaal gesproken kijken beveiligingssystemen alleen naar de score: "Is dit een virus? Ja of nee?" Maar als de score plotseling fout gaat, weten we vaak niet waarom.

De onderzoekers van deze studie doen iets slimmers. In plaats van alleen naar de score te kijken, kijken ze naar de logica (de regels) van het systeem. Ze gebruiken 'beslissingsbomen'. Zie een beslissingsboom als een stroomdiagram:

Heeft het bestand een vreemde code? $\rightarrow$ Ja $\rightarrow$ Is de bestandsgrootte ongewoon? $\rightarrow$ Ja $\rightarrow$ VIRUS!

Hoe werkt hun methode? (De metafoor van de Gereedschapskist)

De onderzoekers kijken naar hoe de "gereedschapskist" van de uitsmijter verandert. Ze gebruiken vier verschillende manieren om te meten of de regels aan het veranderen zijn:

De Belangrijkheid van de Regel (Feature Importance): Als de uitsmijter voorheen vooral keek naar schoenen, maar nu ineens heel erg op zonnebrillen let, dan is er iets veranderd in de "mode".
De Overeenkomst (Prediction Agreement): Als de oude regels en de nieuwe regels het totaal niet met elkaar eens zijn over wie er naar binnen mag, dan is er drift.
De Dekking (Coverage): Hoeveel mensen vallen er eigenlijk onder de huidige regels? Als de regels ineens bijna niemand meer beschrijven, zijn ze verouderd.
De Stabiliteit (Activation Stability): Hoe vaak worden bepaalde regels eigenlijk gebruikt?

Wat hebben ze ontdekt?

De onderzoekers hebben geëxperimenteerd met verschillende manieren om de tijd in te delen (bijvoorbeeld elke twee weken kijken of er iets verandert, of kijken naar 'golven' van virussen). Dit zijn hun belangrijkste conclusies:

De "Familie-tegen-Familie" truc: Het is veel makkelijker om drift te ontdekken als je twee verschillende soorten virussen met elkaar vergelijkt, dan wanneer je een virus vergelijkt met een "normaal" bestand. Het is alsof je het verschil tussen een punker en een zakenman makkelijker ziet dan het verschil tussen een punker en een willekeurige voorbijganger.
De beste methode: De meest betrouwbare manier om te zien dat er iets verandert, is door elke twee maanden te kijken naar de rangorde van de kenmerken (de Pearson correlation). Als de belangrijkste kenmerken van een virus plotseling verschuiven, weet je dat de aanvallers hun tactiek hebben gewijzigd.
Geen "one-size-fits-all": Elk type virus (elke "familie") heeft zijn eigen unieke manier van evolueren. De ene familie verandert langzaam, de andere plotseling. Je kunt dus niet één universele alarmbel instellen; je moet voor elke virusfamilie een eigen "mode-monitor" hebben.

Waarom is dit belangrijk voor jou?

Dit onderzoek helpt om cybersecurity-systemen uitlegbaar te maken. In plaats van dat een computer alleen zegt: "Ik denk dat dit een virus is," kan dit systeem zeggen: "Ik zie dat de regels die we gebruikten voor dit type virus niet meer werken, omdat de aanvallers nu andere kenmerken gebruiken. We moeten onze regels aanpassen!"

Het is het verschil tussen een alarmsysteem dat alleen afgaat als er een inbreker is, en een systeem dat zegt: "Hé, de inbrekers gebruiken nu ladders in plaats van ramen, we moeten onze bewaking verplaatsen!"

Technische Samenvatting: Detectie van Concept Drift in Evoluerende Malwarefamilies via Regelgebaseerde Classifier-Representaties

1. Het Probleem (Problem Statement)

Malware evolueert voortdurend door technieken zoals obfuscatie, packing en encryptie om detectie te omzeilen. Dit proces veroorzaakt concept drift: de statistische eigenschappen van de doelvariabele (de malware) veranderen over de tijd. Hierdoor verliezen machine learning-modellen hun nauwkeurigheid, omdat de patronen waarop ze zijn getraind niet langer representatief zijn voor de nieuwste malware-varianten. Een groot probleem bij bestaande detectiemethoden is dat ze vaak een "black box" zijn (gebrek aan interpreteerbaarheid) of dat ze onmiddellijke toegang tot foutieve labels (ground truth) vereisen om drift te detecteren, wat in de praktijk vaak vertraagd gebeurt.

2. Methodologie (Methodology)

De auteurs stellen een structurele aanpak voor die concept drift detecteert door de beslisregels van een classifier te analyseren in plaats van alleen de output of de data zelf.

Dataset & Preprocessing: Er is gebruikgemaakt van de EMBER2024 dataset. Om de complexiteit te beheersen, werd feature selection (SelectKBest) toegepast, waardoor het aantal kenmerken werd teruggebracht van 2568 naar 10 cruciale structurele kenmerken van PE-bestanden.
Classificatie-instellingen: Er werden twee scenario's getest:
1. Family-vs-Benign (FvB): Het onderscheiden van een specifieke malwarefamilie van legitieme software.
2. Family-vs-Family (FvF): Het onderscheiden van twee nauw verwante malwarefamilies.
Drift-metrieken: De onderzoekers ontwikkelden nieuwe metrieken gebaseerd op de extractie van beslisboomregels ( $R_t$ $R_{t}$ ):
- Feature Importance Drift: Het meten van veranderingen in de relatieve belangrijkheid van kenmerken binnen de regelsets (via Cosine Similarity, Euclidean distance, Manhattan distance en Pearson correlatie).
- Prediction Agreement: De mate waarin regelsets uit opeenvolgende tijdvensters dezelfde voorspellingen doen.
- Activation Stability: De stabiliteit van de activatie van specifieke regels over tijd.
Evaluatie-framework: Drift werd gekwantificeerd door deze metrieken te correleren met twee "ground-truth" indicatoren: de afname in modelnauwkeurigheid en de verschuiving in de datadistributie (gemeten via o.a. Wasserstein distance en Domain Classifier AUC).
Windowing: Er werd vergeleken tussen vaste tijdsintervallen (bijv. 2 maanden) en clustering-gebaseerde vensters (DBSCAN/KMeans) om malwarecampagnes te identificeren.

3. Belangrijkste Bijdragen (Key Contributions)

Structurele Drift-analyse: Een methode die drift detecteert door de logica (de regels) van een model te monitoren, wat direct inzicht geeft in hoe de detectie verandert.
Interpreteerbaarheid: De aanpak biedt niet alleen een kwantitatieve indicator van drift, maar ook kwalitatieve inzichten voor security-analisten over welke kenmerken (bijv. entropie of import-profielen) de evolutie van malware drijven.
Vergelijkende Analyse: Een uitgebreide evaluatie die aantoont dat driftdetectie effectiever is in een FvF-setting dan in een FvB-setting.

4. Resultaten (Results)

Beste Configuratie: De meest betrouwbare methode is de Family-vs-Family (FvF) setting met vaste vensters van twee maanden, waarbij de Feature Pearson Correlation de sterkste correlatie vertoonde met de afname in nauwkeurigheid ( $\rho = 0.419$ ).
FvF vs. FvB: Drift is veel gemakkelijker te detecteren wanneer een model moet differentiëren tussen twee malwarefamilies. In de FvB-setting worden drift-signalen vaak gemaskeerd door de stabiele kenmerken van legitieme (benigne) software.
Complementariteit: Geen enkele metriek is universeel superieur. De resultaten laten zien dat verschillende metrieken verschillende aspecten van drift vangen; bijvoorbeeld, sommige metrieken correleren beter met nauwkeurigheidsverlies, terwijl andere beter correleren met distributieverschuivingen.
Vergelijking met baselines: De voorgestelde methode presteerde vergelijkbaar met of beter dan de Transcendent (conformal evaluation) methode en de RIPPER classifier, waarbij de beslisboom-gebaseerde aanpak de meest stabiele resultaten bood.

5. Betekenis (Significance)

Dit onderzoek is cruciaal voor de ontwikkeling van adaptieve en betrouwbare cybersecurity-systemen. Door drift te detecteren via de interne structuur van regels, kunnen beveiligingssystemen (zoals Endpoint Protection) proactief aangeven wanneer hun detectielogica verouderd is, nog voordat de nauwkeurigheid catastrofaal instort. Bovendien biedt de methodologie een brug tussen pure machine learning en de behoefte aan explainable AI (XAI) binnen de cybersecurity-sector, wat essentieel is voor incidentrespons en forensisch onderzoek.