Resumo Técnico: FDM – Um Framework para Tomada de Decisão na Construção de Sistemas de Detecção de Malware Baseados em ML

1. Declaração do Problema

A rápida evolução do malware, caracterizada por técnicas de evasão sofisticadas (ex: polimorfismo, ofuscação) e explorações de dia zero (zero-day), tornou a detecção tradicional baseada em assinaturas cada vez mais ineficaz. Embora o Aprendizado de Máquina (ML) e o Aprendizado Profundo (DL) ofereçam alternativas promissoras ao identificar padrões comportamentais em vez de assinaturas estáticas, o cenário de pesquisa atual é fragmentado. Os estudos existentes tipicamente propõem configurações específicas de ML otimizadas para restrições estreitas (ex: um único conjunto de dados ou tipo de análise) sem fornecer orientação sistemática para profissionais que enfrentam diversos ambientes operacionais.

Construir um sistema eficaz de detecção de malware baseado em ML envolve navegar por um cenário complexo e interdependente de decisões: extração de características (estática vs. dinâmica), arquitetura de modelo (clássica vs. profunda) e estratégias de atualização. Sem uma metodologia estruturada, os profissionais frequentemente tomam decisões ad hoc que falham em equilibrar o desempenho de detecção, o consumo de recursos (RAM, CPU) e a manutenibilidade a longo a longo prazo. O problema central abordado é a falta de um framework principiado e sensível ao contexto para selecionar a configuração de ML ideal, dado as diversas restrições organizacionais, características dos dados e requisitos operacionais.

2. Metodologia: O Framework FDM

Os autores propõem o Framework para Tomada de Decisão para construir sistemas de detecção de Malware baseados em ML (FDM). Este framework formaliza o processo de seleção de configuração usando um Weighted Configuration Compatibility Score (WCCS), uma função de pontuaçãoia de múltiplos critérios.

A. Dimensões de Entrada (Restrições Operacionais)

O framework aceita cinco parâmetros de entrada quantificáveis que representam o contexto operacional:

1. Índice de Restrição de Plataforma (Q1): Limites de recursos do alvo de implantação (ex: mobile/edge vs. cluster de alto desempenho).
2. Índice de Orçamento de Recursos (Q2): Memória e computação disponíveis para treinamento/inferência (ex: restrito <4GB RAM vs. alto desempenho >16GB RAM).
3. Nível de Latência de Resposta (Q3): Velocidade de inferência necessária (offline/batch vs. tempo real estrito <100ms).
4. Pontuação de Frequência de Atualização (Q4): Cadência para retreinamento do modelo (atualização única vs. atualizações diárias contínuas).
5. Razão de Sensibilidade (Q5): O custo operacional relativo de Falsos Negativos vs. Falsos Positivos (sensível a FN vs. sensível a FP).

B. Dimensões de Saída (Recomendações de Configuração)

Com base nas entradas, o algoritmo WCCS gera recomendações classificadas em nove dimensões de configuração:

• Aquisição de Dados (P1): Seleção de fonte (pública, privada ou interna).
• Engenharia de Características (P3.1–P3.3): Tipo de extração (estática, dinâmica, híbrida), pré-processamento e seleção de características.
• Seleção de Modelo (P2.1): Classificação de modelos de ML (ex: RF, XGBoost, LSTM, CNN).
• Ajuste de Hiperparâmetros (P2.2–P2.3): Espaço de busca e parâmetros fixos.
• Estratégia de Manutenção (P4, P5): Mecanismos de atualização (Transfer Learning vs. Class-Incremental Learning) e objetivos de sensibilidade.

O WCCS calcula uma pontuação de compatibilidade para cada configuração candidata, ponderando o alinhamento entre as capacidades do candidato e as cinco restrições de entrada. A configuração com a maior pontuação é recomendada.

C. Validação Empírica

Para validar o framework e calibrar os pesos de pontuação, os autores conduziram quatro experimentos em três conjuntos de dados heterogêneos:

1. Conjunto de Dados Privado de Chamadas de API do Windows: 8 famílias de malware + benigno.
2. Dataset Malimg: 9.339 imagens de malware em tons de cinza de 25 famílias.
3. Dataset Público de API Estática de Android: 15.036 aplicações.

Os experimentos abordaram cinco questões de pesquisa comparando modelos clássicos vs. modelos profundos, avaliando transfer learning, class-incremental learning e extração de características baseada em autoencoders.

3. Principais Contribuições

1. Framework de Decisão Quantificável: O FDM codifica objetivos operacionais em um sistema de pontuação matemática (WCCS) que produz recomendações de configuração de ML classificadas e apropriadas ao contexto, indo além de soluções "tamanho único".
2. Benchmarks Empíricos Abrangentes: O estudo fornece comparações diretas de modelos clássicos (RF, XGBoost, SVM) e modelos de aprendizado profundo (LSTM, BiLSTM, CNN) através de tarefas de classificação binária, classificação multiclasse, aprendizado incremental e aprendizado por transferência.
3. Validação da Dependência de Contexto: Os experimentos demonstram que nenhum modelo único domina todos os cenários. Por exemplo, a superioridade do aprendizado profundo em tarefas binárias não se traduz necessariamente em tarefas multiclasse, e os benefícios do transfer learning são dependentes da modalidade.
4. Cenários Ilustrativos: O artigo demonstra a utilidade do framework através de três cenários de implantação distintos (segurança de borda IoT, defesa contra ransomware para PMEs e proteção de infraestrutura crítica), mostrando como o mesmo framework se adapta a restrições vastamente diferentes.

4. Principais Resultados e Descobertas

Os resultados experimentais geraram insights específicos que informaram a lógica de recomendação do FDM:

• Classificação Binária (baseada em API): O XGBoost alcançou a melhor relação precisão-recurso (97,46% de acurácia de teste, <70 MB de RAM), superando o LSTM e o BiLSTM. Modelos profundos consumiram até 2,8 GB de RAM (aprox. 40× mais) para ganhos marginais ou negativos em acurácia.
• Classificação Multiclasse: A classificação se inverteu. Modelos clássicos (XGBoost, 79,03%) superaram significativamente modelos recorrentes profundos (BiLSTM, 72,27%). Isso sugere que modelos sequenciais profundos requerem corpora de treinamento substancialmente maiores por classe para generalizar efetivamente entre múltiplas famílias.
• Aprendizado Incremental de Classe (CIL): O EfficientNetB0 (CNN) manteve 99,13% de acurácia com apenas uma degradação de 0,65 ponto percentual ao longo de 11 etapas incrementais, demonstrando resistência superior ao esquecimento catastrófico em comparação com modelos baseados em árvores (XGBoost: queda de 2,33 pp).
• Transfer Learning: O pré-treinamento no ImageNet reduziu o tempo de treinamento em uma média de 2,14× em dados de malware baseados em imagem (Malimg) sem perda significativa de acurácia. No entanto, esse benefício não se traduziu para sequências de chamadas de API ou permissões de Android, onde as características do ImageNet forneceram pouco viés indutivo.
• Pré-processamento com Autoencoder: O uso de um autoencoder para comprimir características resultou em uma aceleração de 14× no treinamento e 4,3× na velocidade de inferência, com um custo de acurácia mínimo de apenas 0,86 ponto percentual. Isso o torna uma opção viável para ambientes com restrição de latência.

5. Significância e Alegações

O artigo afirma que o FDM aborda uma lacuna crítica na pesquisa de cibersegurança: a falta de orientação sistemática para a seleção de técnicas de ML em diversos contextos operacionais.

• Dependência de Contexto: A principal descoberta é que a configuração de ML "ideal" não é absoluta, mas estritamente dependente das restrições operacionais (plataforma, recursos, latência, frequência de atualização e sensibilidade).
• Utilidade Prática: Ao mapear as descobertas empíricas para o mecanismo de pontuação WCCS, o framework permite que os profissionais tomem decisões informadas e baseadas em dados, em vez de depender de resultados de pesquisa fragmentados e isolados.
• Viabilidade: O estudo demonstra que um processo de seleção estruturado e consciente das restrições é tanto necessário quanto viável, permitindo que as organizações equilibrem alto desempenho de detecção com eficiência de recursos e manutenibilidade a longo prazo.

Os autores concluem que, embora o FDM forneça uma base robusta para a seleção de configuração, ele não substitui a necessidade de expertise de domínio, particularmente no tratamento de ameaças adversárias ou requisitos de explicabilidade, que são identificados como áreas para extensões futuras.