Detecting Concept Drift in Evolving Malware Families Using Rule-Based Classifier Representations

Resumo Técnico: Detecção de Concept Drift em Famílias de Malware em Evolução Usando Representações de Classificadores Baseados em Regras

1. O Problema

O principal desafio abordado é o concept drift (deriva de conceito) no contexto da cibersegurança. À medida que os atacantes utilizam técnicas de ofuscação, empacotamento (packing) e criptografia para evadir detecções, as propriedades estatísticas do malware mudam ao longo do tempo. Isso faz com que modelos de aprendizado de máquina treinados em dados passados percam eficácia, resultando em uma degradação da precisão. O problema central é como detectar essas mudanças de forma confiável e interpretável, sem depender exclusivamente de rótulos (labels) de verdade absoluta, que costumam demorar a ser obtidos em ambientes operacionais.

2. Metodologia

Os autores propõem uma abordagem estrutural que analisa as mudanças nas regras de conjuntos de árvores de decisão para quantificar o drift.

• Dataset e Pré-processamento: Utilizaram o dataset EMBER2024 (focado em arquivos PE de Windows). Para garantir a interpretabilidade e reduzir a complexidade, aplicaram a seleção de características SelectKBest, reduzindo o espaço de 2568 para 10 características altamente discriminativas.
• Métricas de Drift Propostas: Em vez de olhar apenas para o erro do modelo, eles extraem a lógica do classificador e medem:
  • Feature Importance Drift: Compara vetores de importância de características entre janelas temporais usando similaridade de cosseno, distância Euclidiana, Manhattan e correlação de Pearson.
  • Prediction Agreement: Mede a fração de amostras onde as regras de duas janelas temporais diferentes produzem a mesma previsão.
  • Activation Stability: Mede a estabilidade da taxa de ativação de cada regra.
  • Coverage Metrics: Mede a mudança na cobertura média das regras.
• Configurações Experimentais:
  • Janelamento: Compararam janelas temporais fixas (ex: 2 meses) com janelas baseadas em agrupamento (clustering via DBSCAN e KMeans) para identificar campanhas de malware.
  • Cenários de Classificação: Compararam o cenário Família vs. Benigno (FvB) com o cenário Família vs. Família (FvF) (distinguir duas famílias de malware próximas).
• Baselines de Comparação: O método foi comparado com o framework Transcendent (baseado em avaliação conformal) e o classificador baseado em regras RIPPER.

3. Principais Contribuições

• Abordagem Estrutural e Interpretável: Diferente de métodos puramente estatísticos, a proposta analisa a lógica de decisão do modelo, o que permite aos analistas de segurança entender como o modelo está mudando.
• Identificação de Indicadores de Drift: O trabalho demonstra que mudanças na importância das características dentro das regras são indicadores robustos de deriva.
• Descoberta de Configuração Ótima: Identificou que o cenário de classificação Família vs. Família (FvF) com janelas fixas de dois meses é o mais eficaz para detectar sinais de drift.

4. Resultados

• Superioridade do Cenário FvF: A detecção de drift foi significativamente mais estável e forte no cenário Família vs. Família do que no cenário Família vs. Benigno. Isso ocorre porque as características de arquivos benignos são muito estáveis e acabam "mascarando" as mudanças sutis nas famílias de malware.
• Métrica Vencedora: A Correlação de Pearson de Importância de Características (Feature Pearson Correlation) mostrou-se a configuração mais confiável, sendo a única em que todos os pares de famílias produziram correlações positivas com a queda de precisão (lag $k=1$).
• Generalização: O método provou ser generalizável, pois o classificador RIPPER também apresentou resultados positivos com as métricas de importância de características, embora com maior variância que as árvores de decisão.
• Complementaridade: Os resultados mostraram que o método proposto e o Transcendent são complementares; nenhum domina todos os casos, sugerindo que sistemas de monitoramento ideais devem combinar sinais estruturais (regras) com sinais de nível de amostra (desvios de distribuição).

5. Significância

Este trabalho é relevante para a construção de sistemas de detecção de malware mais resilientes e adaptáveis. Ao fornecer métricas que correlacionam a mudança na lógica do modelo com a degradação real da performance, ele oferece uma ferramenta de monitoramento para SOCs (Centros de Operações de Segurança) que permite decidir o momento exato de retreinar modelos, evitando "pontos cegos" exploráveis por atacantes e reduzindo o custo computacional de retreinamentos desnecessários.