JP2016206950A - マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム - Google Patents
マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム Download PDFInfo
- Publication number
- JP2016206950A JP2016206950A JP2015087924A JP2015087924A JP2016206950A JP 2016206950 A JP2016206950 A JP 2016206950A JP 2015087924 A JP2015087924 A JP 2015087924A JP 2015087924 A JP2015087924 A JP 2015087924A JP 2016206950 A JP2016206950 A JP 2016206950A
- Authority
- JP
- Japan
- Prior art keywords
- data
- goodware
- malware
- existing
- feature vector
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Image Analysis (AREA)
Abstract
【課題】機械学習を用いた、効率的かつ誤検知の少ないマルウェア判定を行う。【解決手段】既存マルウェアデータ101および既存グッドウェアデータ102を含む教師データ100と、誤検知グッドウェアデータ110と、の特徴ベクトルを抽出し、既存マルウェアデータ101のうち誤検知グッドウェアデータ110と特徴ベクトルが類似しているものを除去し、誤検知グッドウェアデータ110を教師データに挿入し精査教師データ120とする。その際、精査教師データ120を学習した分類器が誤検知グッドウェアデータ110に対する誤検知率が小さくなるような位置に誤検知グッドウェアデータ110を挿入する。【選択図】図1
Description
本発明は、マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラムに関する。
Windows(登録商標)やUNIX(登録商標)の実行ファイルがマルウェアか否かを判定するアンチウィルスシステムでは、実行ファイルを実行して判定する動的判定、実行せずに判定する静的判定の2手法が用いられている。さらに、判定に特に速度が求められる場合は、静的判定が用いられる。
静的判定の手法として代表的なものに、ハッシュ値一致判定およびパターンマッチ判定(シグニチャスキャン)が挙げられる。まず、ハッシュ値一致判定とは、予め既知のマルウェアのMD5、SHA1、SHA256等のハッシュ値をデータベースとして持ち、検査ファイルのハッシュ値がそのデータベースに合致すればマルウェアとするものである。次に、パターンマッチ判定とは、予め既知のマルウェアに含まれる特定の文字列やバイトコードをデータベースとして持ち、検査対象ファイル中にそれらのデータベース登録された文字列・バイトコードのいずれかを含んでいればマルウェアとするものである。
しかし、ハッシュ値一致判定およびパターンマッチ判定では、既存マルウェアを改造した亜種マルウェアや新種のマルウェアの検知は難しかった。そのため、亜種・新種のマルウェアを判定する手法として、ヒューリスティック判定が提案されている。これは、これまでの経験に基づいてマルウェアらしさを定義し、その定義に従ってマルウェアか否かを判定するものである。
ヒューリスティック判定の手法として、機械学習技術を用いる手法がいくつか提案されている。例えば、実行ファイル中に含まれる可読文字列をあらかじめ学習し、マルウェアで良く用いられる語が検査ファイル中にどの程度含まれるかを基準に、検査ファイルのマルウェアらしさを判定する方法が提案されている(例えば、特許文献1参照)。提案されている方法においては、例えば、学習対象のデータである教師データをいくつかのパラメータの組に変換したうえで機械学習アルゴリズムによって学習を行う。ここで、個々のパラメータを特徴、パラメータの組を特徴ベクトルと呼ぶ。例えば、単語名とその出現数の組が特徴ベクトルである。そして、機械学習技術を用いたヒューリスティック判定を用いた手法において、分類精度(F値等)や学習処理速度を改善する種々の方法が提案されている。
例えば、ある手法においては、実行ファイルのPEヘッダ情報を用いた機械学習によるマルウェア判定において、適切な次元圧縮と機械学習アルゴリズムを用いることで、99%の検知率かつ0.5%以下の誤検知率を達成している(例えば、非特許文献1参照)。
また、機械学習において、分類精度を悪化させると思われるデータを教師データから除去する等、教師データの精査を行うことで精度向上を図る事例選択に関する手法が提案されている。例えば、SVM(Support Vector Machine:サポートベクターマシン)を用いた画像分類において、SVMの内部パラメータαiを用い、分類しにくい曖昧な画像データを抽出し、これらのデータを教師データから取り除く事例選択手法が提案されている(例えば、非特許文献2参照)。また、スパース表現分類法(SRC法)を用いた画像分類において、学習時にその分類の確からしさを表すスコアを用いて寄与率を算出し、寄与率が高い、すなわち、より確からしい典型的事例のみを教師データとすることで、分類精度を高く保ちつつ、学習処理時間の短縮を実現する手法が提案されている(例えば、特許文献2参照)。さらに、検知結果をホワイトリストと照らし合わせる方法が一般的に知られている。
Shafiq, et al., "PE-Miner: Mining Structural Information to Detect Malicious Executables in Realtime", RAID '09, 2009.
高取 等、「サポートベクターマシンの内部パラメータに基づく事例選択手法の提案と映像境界検出問題への応用」、人工知能学会全国大会(第22回)、2008.
しかしながら、上記の従来技術では、マルウェア判定における誤検知を十分に低減できているとはいえず、また、ホワイトリストを用いる手法においては、ホワイトリスト照合の処理時間やホワイトリストの記憶領域等が余分に必要となるという問題がある。
一般的に、マルウェア判定においては、判定対象となるグッドウェアの数が多いため、特に低い誤検知率を要求される。例えば、Microsoft社製のOSであるWindows7のシステムディレクトリには2000個以上の実行形式ファイルが存在する。そのため、誤検知率0.5%でも、10個以上のグッドウェアが誤ってマルウェアと誤検知されることになるため、誤検知率が十分に低いとは言えない。
また、あらかじめ記録したホワイトリストを作成し、判定時にこのホワイトリストを参照し合致したものをグッドウェアと判定することで誤検知を訂正する方法が知られているが、前述の通り、ホワイトリストを記憶するための記憶領域や照合のための処理時間が必要になるため、効率性が低下してしまう。
そこで、本発明の目的は、機械学習を用いた、効率的かつ誤検知の少ないマルウェア判定を行うことにある。
本発明のマルウェア判定のための精査教師データ出力装置は、悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する特徴抽出部と、前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去部と、前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして、前記教師データに挿入する誤検知グッドウェア挿入部と、を有することを特徴とする。
また、本発明のマルウェア判定システムは、悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する第1の特徴抽出部と、前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去部と、前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして、前記教師データに挿入する誤検知グッドウェア挿入部と、を有する精査教師データ出力装置と、前記誤検知グッドウェア挿入部によって前記誤検知グッドウェアデータが挿入された教師データおよびマルウェアであるか否かを判定する対象となる対象ファイルの各特徴をそれぞれ特徴ベクトルとして抽出する第2の特徴抽出部と、前記教師データの特徴ベクトルを学習し、前記対象ファイルの特徴ベクトルから前記対象ファイルのマルウェアらしさを示すスコアを算出する第1の分類器と、前記スコアに基づいて前記対象ファイルがマルウェアであるか否かを判定する判定部と、を有する学習判定装置と、を備えたことを特徴とする。
また、本発明のマルウェア判定方法は、マルウェア判定システムで実行されるマルウェア判定方法であって、悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する第1の特徴抽出工程と、前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去工程と、前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして、前記教師データに挿入する誤検知グッドウェア挿入工程と、前記誤検知グッドウェア挿入工程によって前記誤検知グッドウェアデータが挿入された教師データおよびマルウェアであるか否かを判定する対象となる対象ファイルの各特徴をそれぞれ特徴ベクトルとして抽出する第2の特徴抽出工程と、前記教師データの特徴ベクトルを学習し、前記対象ファイルの特徴ベクトルから前記対象ファイルのマルウェアらしさを示すスコアを算出する分類工程と、前記スコアに基づいて前記対象ファイルがマルウェアであるか否かを判定する判定工程と、を含んだことを特徴とする。
本発明によれば、機械学習を用いた、効率的かつ誤検知の少ないマルウェア判定を行うことができる。
以下に、本願に係るマルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラムを図面に基づいて詳細に説明する。なお、この実施形態により本願に係るマルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラムが限定されるものではない。
[第1の実施形態の構成]
まず、図1を用いて、第1の実施形態の構成について説明する。図1は、第1の実施形態に係るマルウェア判定システムの構成の一例を示す図である。図1に示すように、マルウェア判定システム1は、精査教師データ出力装置10および学習・判定装置20を有する。精査教師データ出力装置10は、既存マルウェアデータ101および既存グッドウェアデータ102から構成される教師データ100と、誤検知グッドウェアデータ110と、を用いて事例選択を行い、精査教師データ120を出力する。また、学習・判定装置20は、精査教師データ120を学習し、対象ファイル130の判定を行い、判定結果140を出力する。
まず、図1を用いて、第1の実施形態の構成について説明する。図1は、第1の実施形態に係るマルウェア判定システムの構成の一例を示す図である。図1に示すように、マルウェア判定システム1は、精査教師データ出力装置10および学習・判定装置20を有する。精査教師データ出力装置10は、既存マルウェアデータ101および既存グッドウェアデータ102から構成される教師データ100と、誤検知グッドウェアデータ110と、を用いて事例選択を行い、精査教師データ120を出力する。また、学習・判定装置20は、精査教師データ120を学習し、対象ファイル130の判定を行い、判定結果140を出力する。
精査教師データ出力装置10は、特徴抽出部11、次元削減部12、類似マルウェア除去部13および誤検知グッドウェア挿入部14を有する。なお、教師データ100の既存マルウェアデータ101および既存グッドウェアデータ102は、既存のマルウェアとグッドウェアの実行ファイル、およびその実行ファイルがマルウェアであるかグッドウェアであるかの分類を示す情報を含んでいる。そして、誤検知グッドウェアデータ110は、複数の誤検知したグッドウェアの実行ファイルで構成される。また、誤検知グッドウェアデータ110は教師データ100中に含まれない実行ファイルでもよい。例えば、ユーザから誤検知の申告があったグッドウェア等を含めることができる。なお、精査教師データ出力装置10で行われる処理を事例選択と呼ぶこともでき、さらに、精査教師データ出力装置を、事例選択装置等と呼ぶこともできる。
特徴抽出部11は、悪性であることが既知のファイルである既存マルウェアデータ101、良性であることが既知のファイルである既存グッドウェアデータ102および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータ110の各特徴をそれぞれ特徴ベクトルとして抽出する。この時、特徴抽出部11は、特徴ベクトルへの変換を行う前に、精度向上を目的として各特徴の取捨選択を行うようにしてもよい。また、次元削減部12は、主成分分析等を利用して、特徴ベクトルの次元圧縮を行う。ここで、次元削減部12は、主成分分析を用いることで相関がある特徴同士を自動的に1つの特徴にまとめることができる。
類似マルウェア除去部13は、既存マルウェアデータ101および既存グッドウェアデータ102を含む教師データ100から、誤検知グッドウェアデータ110の特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータ101を削除する。具体的には、まず、類似マルウェア除去部13は、既存マルウェアデータ101の実行ファイルの特徴ベクトルと、それぞれの誤検知グッドウェアデータ110の実行ファイルの特徴ベクトルを用いて類似度を算出する。そして、類似マルウェア除去部13は、算出した類似度を条件判定することで、類似か否かを決定し、類似と決定した教師データ100中の実行ファイルを既存マルウェアデータ101、すなわち教師データ100の中から除去する。
ここで、類似マルウェア除去部13は、類似度として、ユークリッド距離、コサイン類似度、Jaccard係数等のいずれかを用いることができる。例えば、ユークリッド距離は当該の2つの特徴ベクトルの差の内積の平方根と定義される。そこで、類似マルウェア除去部13は、例えば、ユークリッド距離が指定の閾値以下なら互いに類似していると決定するようにしてもよい。
また、コサイン類似度は、当該の2つの特徴ベクトルがなす角度の余弦(cosine)と定義される。そこで、類似マルウェア除去部13は、例えば、コサイン類似度が指定の閾値以上なら互いに類似していると決定するようにしてもよい。さらに、Jaccard係数は、2つの特徴ベクトルの値が0でない各要素について、互いに合致している要素の個数を全要素の個数で割ったものと定義される。そこで、類似マルウェア除去部13は、例えば、Jaccard係数が指定の閾値以上なら互いに類似していると決定するようにしてもよい。
誤検知グッドウェア挿入部14は、誤検知グッドウェアデータ110を、教師データ100に挿入し、精査教師データ120として出力する。ここで、機械学習アルゴリズムを用いた分類器には、教師データの並び順がその分類精度に大きく影響するものがある。そのため、後述する学習・判定装置20の分類器23の種類に応じて、誤検知グッドウェアデータ110を適切な並び順で教師データ100へ挿入することより、誤検知を低減させることができる。
例えば、分類器23としてオンライン機械学習アルゴリズムAROW(Adaptive Regularization of Weight Vectors)を用いた場合は、誤検知グッドウェア挿入部14が誤検知グッドウェアデータ110を教師データ100の最後尾へ挿入することで、より誤検知を低減できることが観察された。一方、分類器23としてサポートベクターマシンを用いた場合は、誤検知グッドウェア挿入部14が誤検知グッドウェアデータ110を教師データ100の先頭へ挿入することで、より誤検知を低減できることが観察された。また、分類器23としてパーセプトロン等を用いた場合は、誤検知グッドウェアデータ110と同じものを複数個、教師データ100の異なった位置に挿入して、誤検知グッドウェアデータ110の学習回数を増やすことが有効であった。
最終的に、精査教師データ出力装置10は、類似マルウェア除去部13および誤検知グッドウェア挿入部14で修正された教師データ100を精査教師データ120として出力する。精査教師データ120は、教師データ100と同様に、既存のマルウェアとグッドウェアの実行ファイル、および、その実行ファイルがマルウェアであるかグッドウェアであるかの分類を示す情報で構成される。ただし、実行ファイルの代わりに、学習・判定装置20で必要とする部分のみを取り出した断片情報であってもよい。例えば、学習・判定装置20がPEヘッダを用いたマルウェア判定を行う場合は、PEヘッダ情報の領域部分のみ取り出した断片情報を精査教師データ120としてもよい。精査教師データ120は、例えば、固定記憶媒体、メモリ、通信等の媒体上の情報である。
学習・判定装置20は、特徴抽出部21、次元削減部22、分類器23および判定部24を有する。特徴抽出部21は、精査教師データ120および対象ファイル130の特徴を特徴ベクトルとして抽出する。ここで、対象ファイル130は、マルウェアであるかグッドウェアであるかの分類が未知の実行ファイルである。また、次元削減部22は、次元削減部12と同様に、次元圧縮を行う。なお、特徴抽出部21および次元削減部22は、特徴抽出部11および次元削減部12と同様の機能を有するものであってもよい。
分類器23は、精査教師データ120の特徴ベクトルを学習し、対象ファイル130の特徴ベクトルから対象ファイル130のマルウェアらしさを示すスコアを算出する。具体的には、分類器23は、精査教師データ120の特徴ベクトルおよび精査教師データ120の実行ファイルがマルウェアであるかグッドウェアであるかの分類の情報を受け取り、機械学習を行う。例えば、分類器23としては、ロジスティック回帰、サポートベクターマシン、パーセプトロン、AROW、単純ベイズ等、の分類器を用いることができる。
機械学習を行った分類器23は、対象ファイル130の特徴ベクトルから、対象ファイル130のマルウェアらしさをスコアという数値で出力する。そして、判定部24は、スコアを基にマルウェアか否かを判定し、判定結果を出力する。なお、判定結果はマルウェアまたはグッドウェアの分類のみでもよいし、スコアを含めてもよい。また、判定部24は、例えば、スコアがある閾値以上ならマルウェア、閾値以下ならグッドウェアとする閾値判定を用いてもよい。
判定方法として閾値判定を用いる場合、閾値を増大させると、検知率は下がるが誤検知率も下がり、逆に、閾値を減少させると、検知率・誤検知率が上がる。ただし、閾値と検知率、誤検知率の関係は比例関係ではなく、ROC曲線に従い、ある閾値の範囲では閾値を増やしても誤検知率はそれほど上がらず、検知率は非常に上がることが知られている。そのため、あらかじめ、適切に閾値を調整することにより、許容範囲内に誤検知率を収めつつ、比較的高い検知率を得られるようにすることができる。例えば、テスト用の対象ファイルを用意・判定(ホールドアウト検証)し、得られたスコアから、許容範囲内に誤検知率が収まるように閾値を決める等の調整方法がある。
[第1の実施形態の処理]
図2〜4を用いて、第1の実施形態の処理について説明する。図2〜4は、第1の実施形態に係るマルウェア判定システムにおける各処理の一例を示すフローチャートである。図2を用いて、事例選択処理について説明する。ここで、事例選択処理とは、前述の通り、精査教師データ出力装置10で行われる一連の処理を示すものである。
図2〜4を用いて、第1の実施形態の処理について説明する。図2〜4は、第1の実施形態に係るマルウェア判定システムにおける各処理の一例を示すフローチャートである。図2を用いて、事例選択処理について説明する。ここで、事例選択処理とは、前述の通り、精査教師データ出力装置10で行われる一連の処理を示すものである。
図2に示すように、まず、特徴抽出部11は、教師データ100および誤検知グッドウェアデータ110から特徴ベクトルを抽出する(ステップS101)。なお、教師データ100は、既存マルウェアデータ101および既存グッドウェアデータ102を含んでいる。次に、次元削減部12は、特徴抽出部11で抽出した特徴ベクトルの次元の圧縮を行う(ステップS102)。
そして、類似マルウェア除去部13は、特徴ベクトルを用いて、誤検知グッドウェアデータ110と類似の既存マルウェアデータ101を抽出し、教師データ100から削除する(ステップS103)。その後、誤検知グッドウェア挿入部14は、誤検知グッドウェアデータ110を、教師データ100の適切な位置へ挿入し(ステップS104)、精査教師データ120を出力する。なお、誤検知グッドウェアデータ110を挿入する適切な位置とは、教師データ100の先頭、最後尾等が挙げられ、精査教師データ120で最も学習されやすい位置や、精査教師データ120を学習した分類器の誤検知率が低くなるような位置である。
次に、図3を用いて、学習・判定装置20で行われる学習処理について説明する。図3に示すように、まず、特徴抽出部21は、精査教師データ120から特徴ベクトルを抽出する(ステップS111)。次に、次元削減部22は、特徴抽出部21で抽出した特徴ベクトルの次元の圧縮を行う(ステップS112)。そして、分類器23にて精査教師データ120の学習を行う(ステップS113)。
最後に、図4を用いて、学習・判定装置20で行われる判定処理について説明する。図4に示すように、まず、特徴抽出部21は、対象ファイル130から特徴ベクトルを抽出する(ステップS121)。次に、次元削減部22は、特徴抽出部21で抽出した特徴ベクトルの次元の圧縮を行う(ステップS122)。そして、分類器23は、特徴ベクトルから、対象ファイル130のマルウェアらしさのスコアを算出し(ステップS123)、判定部24はスコアを基に対象ファイル130がマルウェアであるか否かを判定する(ステップS124)。
[第1の実施形態の効果]
精査教師データ出力装置10は、既存マルウェアデータ101、既存グッドウェアデータ102および誤検知グッドウェアデータ110の各特徴を特徴ベクトルとしてそれぞれ抽出し、既存マルウェアデータ101および既存グッドウェアデータ102を含んだ教師データ100から、誤検知グッドウェアデータ110の特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータ101を削除し、誤検知グッドウェアデータ110を、既存グッドウェアデータ102として教師データ100に挿入し、精査教師データ120として出力する。
精査教師データ出力装置10は、既存マルウェアデータ101、既存グッドウェアデータ102および誤検知グッドウェアデータ110の各特徴を特徴ベクトルとしてそれぞれ抽出し、既存マルウェアデータ101および既存グッドウェアデータ102を含んだ教師データ100から、誤検知グッドウェアデータ110の特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータ101を削除し、誤検知グッドウェアデータ110を、既存グッドウェアデータ102として教師データ100に挿入し、精査教師データ120として出力する。
従来、グッドウェアをマルウェアと判定する誤検知が発生していた原因として、分類器が該当のグッドウェアと特徴が類似したマルウェアを学習してしまうこと、および該当のグッドウェア自体がうまく学習されにくい条件となっていることの2つが挙げられる。本発明の第1の実施形態においては、誤検知グッドウェアデータを教師データから除去することで、分類器がグッドウェアと類似したマルウェアを学習してしまうことを抑制している。また、誤検知グッドウェアデータを教師データに含めることで、誤検知グッドウェアデータを学習しやすくしている。また、ホワイトリストを用いていないため、処理時間や記憶領域が余分に必要になることがない。以上より、本発明の実施形態1によれば、機械学習を用いた、効率的かつ誤検知の少ないマルウェア判定を行うことができる。
また、精査教師データ出力装置10は、精査教師データ120の特徴ベクトルを学習する分類器の種類に応じて、教師データ100のうち、いずれの位置に誤検知グッドウェアデータ110を挿入するか決定し、該決定した位置に誤検知グッドウェアデータ110を挿入する。分類器の種類によって、先頭に挿入することで最も学習されやすくなる場合や、最後尾に挿入することで最も学習されやすくなる場合等がある。分類器の特性等を考慮して挿入する位置を決定することで、より誤検知率が低くなるように学習を行うことができる。また、誤検知グッドウェアデータと同じ複数のデータを教師データに挿入することによっても、より学習されやすくなるという効果が得られる。
[第2の実施形態の構成]
マルウェア判定システム1に、誤検知グッドウェアデータ110を出力するための装置を追加して、誤検知グッドウェアデータ110の出力からマルウェアの判定までの一連の機能を持たせることもできる。そこで、第2の実施形態では、図5に示すように、マルウェア判定システム1に誤検知グッドウェアデータ出力装置30を含める。図5は、第2の実施形態に係るマルウェア判定システムの構成の一例を示す図である。
マルウェア判定システム1に、誤検知グッドウェアデータ110を出力するための装置を追加して、誤検知グッドウェアデータ110の出力からマルウェアの判定までの一連の機能を持たせることもできる。そこで、第2の実施形態では、図5に示すように、マルウェア判定システム1に誤検知グッドウェアデータ出力装置30を含める。図5は、第2の実施形態に係るマルウェア判定システムの構成の一例を示す図である。
図5に示すように、誤検知グッドウェアデータ出力装置30は、誤検知グッドウェア候補データ105と、教師データ100である既存マルウェアデータ101および既存グッドウェアデータ102と、から誤検知グッドウェアデータ110を抽出し出力する。そして、出力された誤検知グッドウェアデータ110は実施形態1と同様に、精査教師データ出力装置10および学習・判定装置20にて使用される。なお、誤検知グッドウェア候補データ105は、マルウェア判定システム1で誤検知される可能性があるグッドウェアで構成される。例えば、誤検知グッドウェア候補データ105には、教師データ100に含まれる既存グッドウェアデータ102の一部あるいは全てを含めてもよいし、ユーザから誤検知の申告があったグッドウェア等の教師データ100に含まれないグッドウェアを含めてもよい。
図6を用いて、誤検知グッドウェアデータ出力装置30について詳しく説明する。図6は、第2の実施形態に係る誤検知グッドウェアデータ出力装置の構成の一例を示す図である。図6に示すように、誤検知グッドウェアデータ出力装置30は、学習・判定部30aおよび誤検知グッドウェア選出部40を有する。また、学習・判定部30aは、特徴抽出部31、次元削減部32、分類器33および判定部34を有する。
学習・判定部30aの各部の機能は、第1の実施形態における学習・判定装置20の各部の機能と同様である。すなわち、特徴抽出部31は、教師データ100および誤検知グッドウェア候補データ105の特徴を特徴ベクトルとして抽出する。また、次元削減部32は、次元削減部22と同様に、次元圧縮を行う。
分類器33は、教師データ100の特徴ベクトルを学習し、誤検知グッドウェア候補データ105の特徴ベクトルから誤検知グッドウェア候補データ105のマルウェアらしさを示すスコアを算出する。具体的には、分類器33は、教師データ100の特徴ベクトルおよび教師データ100の実行ファイルがマルウェアであるかグッドウェアであるかの分類の情報で機械学習を行う。機械学習を行った分類器33は、誤検知グッドウェア候補データ105の特徴ベクトルから、誤検知グッドウェア候補データ105のマルウェアらしさをスコアという数値で出力する。そして、判定部34は、スコア付き判定結果106を出力する。ここで、スコア付き判定結果106とは、グッドウェアを識別する名称(例えば、ファイル名、ファイルハッシュ値、または、誤検知グッドウェア候補データ順序番号等)と、そのスコアで構成される。
そして、誤検知グッドウェア選出部40は、スコア付き判定結果106に基づき、指定の条件に従って、誤検知グッドウェア候補データ105から、誤検知グッドウェアを選び出し、誤検知グッドウェアデータ110として出力する。なお、指定の条件の例としては、指定閾値以上のスコアとなったグッドウェアを選出すること、またはスコアの高い順に指定個数分のグッドウェアを選出すること等が挙げられる。
[第2の実施形態の処理]
図7を用いて、第2の実施形態の処理について説明する。図7は、第2の実施形態に係るマルウェア判定システムにおける処理の一例を示すフローチャートである。図7に示すように、まず、特徴抽出部31は、教師データ100から特徴ベクトルを抽出する(ステップS201)。なお、教師データ100は、既存マルウェアデータ101および既存グッドウェアデータ102を含んでいる。次に、次元削減部32は、特徴抽出部31で抽出した特徴ベクトルの次元の圧縮を行う(ステップS202)。そして、分類器33にて教師データ100の学習を行う(ステップS203)。
図7を用いて、第2の実施形態の処理について説明する。図7は、第2の実施形態に係るマルウェア判定システムにおける処理の一例を示すフローチャートである。図7に示すように、まず、特徴抽出部31は、教師データ100から特徴ベクトルを抽出する(ステップS201)。なお、教師データ100は、既存マルウェアデータ101および既存グッドウェアデータ102を含んでいる。次に、次元削減部32は、特徴抽出部31で抽出した特徴ベクトルの次元の圧縮を行う(ステップS202)。そして、分類器33にて教師データ100の学習を行う(ステップS203)。
次に、特徴抽出部31は、誤検知グッドウェア候補データ105から特徴ベクトルを抽出する(ステップS204)。そして、次元削減部32は、特徴抽出部31で抽出した特徴ベクトルの次元の圧縮を行う(ステップS205)。そして、分類器33は、特徴ベクトルから、誤検知グッドウェア候補データ105のマルウェアらしさのスコアを算出し(ステップS206)、判定部34は、スコア付き判定結果106を出力する(ステップS207)。最後に、誤検知グッドウェア選出部40は、誤検知グッドウェア候補データ105から、高スコアのグッドウェアの順に抽出し、誤検知グッドウェアデータ110として出力する(ステップS208)。
[第2の実施形態の効果]
第2の実施形態においては、第1の実施形態のマルウェア判定システム1の構成に、誤検知グッドウェアデータ出力装置30が追加されている。誤検知グッドウェアデータ出力装置30は、教師データ100と、誤検知グッドウェアデータ110の候補である誤検知グッドウェア候補データ105と、の特徴を特徴ベクトルとして抽出し、教師データ100の特徴ベクトルを学習し、誤検知グッドウェア候補データ105の特徴ベクトルから誤検知グッドウェア候補データ105のマルウェアらしさを示すスコアを算出し、誤検知グッドウェア候補データ105のうち、スコアが所定の閾値より大きいものを抽出し誤検知グッドウェアデータとして出力する。これにより、誤検知グッドウェアデータ110を適切かつ効率的に選別し、生成することができる。
第2の実施形態においては、第1の実施形態のマルウェア判定システム1の構成に、誤検知グッドウェアデータ出力装置30が追加されている。誤検知グッドウェアデータ出力装置30は、教師データ100と、誤検知グッドウェアデータ110の候補である誤検知グッドウェア候補データ105と、の特徴を特徴ベクトルとして抽出し、教師データ100の特徴ベクトルを学習し、誤検知グッドウェア候補データ105の特徴ベクトルから誤検知グッドウェア候補データ105のマルウェアらしさを示すスコアを算出し、誤検知グッドウェア候補データ105のうち、スコアが所定の閾値より大きいものを抽出し誤検知グッドウェアデータとして出力する。これにより、誤検知グッドウェアデータ110を適切かつ効率的に選別し、生成することができる。
[その他の実施形態]
本発明は、上記の実施形態に限定されるものではなく、例えば、精査教師データ出力装置10の特徴抽出部11および次元削減部12は、学習・判定装置20の特徴抽出部21および次元削減部22と同一のものであってもよいし、異なるものであってもよい。例えば、類似マルウェア除去部13での類似度としてJaccard係数を用いる場合は、次元圧縮を行うと類似度の算出が行えないため、次元削減部12では次元圧縮を行わず、次元削減部22でのみ次元圧縮を行う等、異なる処理を行ってもよい。
本発明は、上記の実施形態に限定されるものではなく、例えば、精査教師データ出力装置10の特徴抽出部11および次元削減部12は、学習・判定装置20の特徴抽出部21および次元削減部22と同一のものであってもよいし、異なるものであってもよい。例えば、類似マルウェア除去部13での類似度としてJaccard係数を用いる場合は、次元圧縮を行うと類似度の算出が行えないため、次元削減部12では次元圧縮を行わず、次元削減部22でのみ次元圧縮を行う等、異なる処理を行ってもよい。
また、事例選択において、類似マルウェア除去部13の次に誤検知グッドウェア挿入部14で処理する例を説明したが、順序を逆にして、誤検知グッドウェア挿入部14の次に類似マルウェア除去部13で処理を行ってもよい。また、必ずしも両処理を実施するのではなく、類似マルウェア除去部13の処理のみ、あるいは、誤検知グッドウェア挿入部14の処理のみを実施するようにしてもよい。
また、第1の実施形態においては、マルウェア判定システム1に、精査教師データ出力装置10および学習・判定装置20が含まれる構成としたが、マルウェア判定装置が精査教師データ出力装置10および学習・判定装置20の機能を有する構成としてもよい。図8は、その他の実施形態に係るマルウェア判定装置の構成の一例を示す図である。図8に示すように、マルウェア判定装置1aは、精査教師データ出力装置10と同様の機能を有する精査教師データ出力部10aおよび学習・判定装置20と同様の機能を有する学習・判定部20aから構成される。
[システム構成等]
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、CPU(Central Processing Unit)および当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、CPU(Central Processing Unit)および当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
[プログラム]
図9は、プログラムが実行されることにより、マルウェア判定装置1aや精査教師データ出力装置10が実現されるコンピュータの一例を示す図である。コンピュータ1000は、例えば、メモリ1010、CPU1020を有する。また、コンピュータ1000は、ハードディスクドライブインタフェース1030、ディスクドライブインタフェース1040、シリアルポートインタフェース1050、ビデオアダプタ1060、ネットワークインタフェース1070を有する。これらの各部は、バス1080によって接続される。
図9は、プログラムが実行されることにより、マルウェア判定装置1aや精査教師データ出力装置10が実現されるコンピュータの一例を示す図である。コンピュータ1000は、例えば、メモリ1010、CPU1020を有する。また、コンピュータ1000は、ハードディスクドライブインタフェース1030、ディスクドライブインタフェース1040、シリアルポートインタフェース1050、ビデオアダプタ1060、ネットワークインタフェース1070を有する。これらの各部は、バス1080によって接続される。
メモリ1010は、ROM(Read Only Memory)1011およびRAM(Random Access Memory)1012を含む。ROM1011は、例えば、BIOS(Basic Input Output System)等のブートプログラムを記憶する。ハードディスクドライブインタフェース1030は、ハードディスクドライブ1090に接続される。ディスクドライブインタフェース1040は、ディスクドライブ1100に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ1100に挿入される。シリアルポートインタフェース1050は、例えばマウス1110、キーボード1120に接続される。ビデオアダプタ1060は、例えばディスプレイ1130に接続される。
ハードディスクドライブ1090は、例えば、OS1091、アプリケーションプログラム1092、プログラムモジュール1093、プログラムデータ1094を記憶する。すなわち、マルウェア判定装置1aや精査教師データ出力装置10の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール1093として実装される。プログラムモジュール1093は、例えばハードディスクドライブ1090に記憶される。例えば、マルウェア判定装置1aや精査教師データ出力装置10における機能構成と同様の処理を実行するためのプログラムモジュール1093が、ハードディスクドライブ1090に記憶される。なお、ハードディスクドライブ1090は、SSD(Solid State Drive)により代替されてもよい。
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ1094として、例えばメモリ1010やハードディスクドライブ1090に記憶される。そして、CPU1020が、メモリ1010やハードディスクドライブ1090に記憶されたプログラムモジュール1093やプログラムデータ1094を必要に応じてRAM1012に読み出して実行する。
なお、プログラムモジュール1093やプログラムデータ1094は、ハードディスクドライブ1090に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ1100等を介してCPU1020によって読み出されてもよい。あるいは、プログラムモジュール1093およびプログラムデータ1094は、ネットワーク(LAN(Local Area Network)、WAN(Wide Area Network)等)を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール1093およびプログラムデータ1094は、他のコンピュータから、ネットワークインタフェース1070を介してCPU1020によって読み出されてもよい。
1 マルウェア判定システム
1a マルウェア判定装置
10 精査教師データ出力装置
10a 精査教師データ出力部
11、21、31 特徴抽出部
12、22、32 次元削減部
13 類似マルウェア除去部
14 誤検知グッドウェア挿入部
20 学習・判定装置
20a、30a 学習・判定部
23、33 分類器
24、34 判定部
30 誤検知グッドウェアデータ出力装置
40 誤検知グッドウェア選出部
100 教師データ
101 既存マルウェアデータ
102 既存グッドウェアデータ
105 誤検知グッドウェア候補データ
106 スコア付き判定結果
110 誤検知グッドウェアデータ
120 精査教師データ
130 対象ファイル
140 判定結果
1a マルウェア判定装置
10 精査教師データ出力装置
10a 精査教師データ出力部
11、21、31 特徴抽出部
12、22、32 次元削減部
13 類似マルウェア除去部
14 誤検知グッドウェア挿入部
20 学習・判定装置
20a、30a 学習・判定部
23、33 分類器
24、34 判定部
30 誤検知グッドウェアデータ出力装置
40 誤検知グッドウェア選出部
100 教師データ
101 既存マルウェアデータ
102 既存グッドウェアデータ
105 誤検知グッドウェア候補データ
106 スコア付き判定結果
110 誤検知グッドウェアデータ
120 精査教師データ
130 対象ファイル
140 判定結果
Claims (8)
- 悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する特徴抽出部と、
前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去部と、
前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして前記教師データに挿入する誤検知グッドウェア挿入部と、
を有することを特徴とするマルウェア判定のための精査教師データ出力装置。 - 前記誤検知グッドウェア挿入部は、
前記教師データの特徴ベクトルを学習する分類器の種類に応じて、前記教師データのうち、いずれの位置に前記誤検知グッドウェアデータを挿入するか決定し、該決定した位置に前記誤検知グッドウェアデータを挿入することを特徴とする請求項1に記載のマルウェア判定のための精査教師データ出力装置。 - 前記誤検知グッドウェア挿入部は、
前記教師データの先頭または最後尾に前記誤検知グッドウェアデータを挿入することを特徴とする請求項1または2に記載のマルウェア判定のための精査教師データ出力装置。 - 前記誤検知グッドウェア挿入部は、
前記誤検知グッドウェアデータと同じ複数のデータを前記教師データに挿入することを特徴とする請求項1から3のいずれか1項に記載のマルウェア判定のための精査教師データ出力装置。 - 悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する第1の特徴抽出部と、前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去部と、前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして前記教師データに挿入する誤検知グッドウェア挿入部と、を有する精査教師データ出力装置と、
前記誤検知グッドウェア挿入部によって前記誤検知グッドウェアデータが挿入された教師データおよびマルウェアであるか否かを判定する対象となる対象ファイルの各特徴をそれぞれ特徴ベクトルとして抽出する第2の特徴抽出部と、前記教師データの特徴ベクトルを学習し、前記対象ファイルの特徴ベクトルから前記対象ファイルのマルウェアらしさを示すスコアを算出する第1の分類器と、前記スコアに基づいて前記対象ファイルがマルウェアであるか否かを判定する判定部と、を有する学習判定装置と、
を備えたことを特徴とするマルウェア判定システム。 - 教師データおよび前記誤検知グッドウェアデータの候補である誤検知グッドウェア候補データの各特徴を特徴ベクトルとしてそれぞれ抽出する第3の特徴抽出部と、前記教師データの前記特徴ベクトルを学習し、前記誤検知グッドウェア候補データの前記特徴ベクトルから誤検知グッドウェア候補データのマルウェアらしさを示すスコアを算出する第2の分類器と、前記誤検知グッドウェア候補データのうち、前記スコアが所定の閾値より大きいものを抽出し前記誤検知グッドウェアデータとして出力する誤検知グッドウェア抽出部と、を有する誤検知グッドウェアデータ出力装置をさらに備えたことを特徴とする請求項5に記載のマルウェア判定システム。
- マルウェア判定システムで実行されるマルウェア判定方法であって、
悪性であることが既知のファイルである既存マルウェアデータ、良性であることが既知のファイルである既存グッドウェアデータ、および良性であることが既知であるが悪性と判定されたファイルである誤検知グッドウェアデータの各特徴を特徴ベクトルとしてそれぞれ抽出する第1の特徴抽出工程と、
前記既存マルウェアデータおよび前記既存グッドウェアデータを含む教師データから、前記誤検知グッドウェアデータの特徴ベクトルと特徴ベクトルが類似している既存マルウェアデータを削除する類似マルウェア除去工程と、
前記誤検知グッドウェアデータを、前記既存グッドウェアデータとして前記教師データに挿入する誤検知グッドウェア挿入工程と、
前記誤検知グッドウェア挿入工程によって前記誤検知グッドウェアデータが挿入された教師データおよびマルウェアであるか否かを判定する対象となる対象ファイルの各特徴をそれぞれ特徴ベクトルとして抽出する第2の特徴抽出工程と、
前記教師データの特徴ベクトルを学習し、前記対象ファイルの特徴ベクトルから前記対象ファイルのマルウェアらしさを示すスコアを算出する分類工程と、
前記スコアに基づいて前記対象ファイルがマルウェアであるか否かを判定する判定工程と、
を含んだことを特徴とするマルウェア判定方法。 - コンピュータを、請求項1から4のいずれか1項に記載のマルウェア判定のための精査教師データ出力装置として機能させるためのマルウェア判定のための精査教師データ出力プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015087924A JP2016206950A (ja) | 2015-04-22 | 2015-04-22 | マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015087924A JP2016206950A (ja) | 2015-04-22 | 2015-04-22 | マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2016206950A true JP2016206950A (ja) | 2016-12-08 |
Family
ID=57489840
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2015087924A Pending JP2016206950A (ja) | 2015-04-22 | 2015-04-22 | マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP2016206950A (ja) |
Cited By (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101863615B1 (ko) * | 2017-05-24 | 2018-06-01 | (주)이스트소프트 | 신경망 학습 기반의 변종 악성 코드를 탐지하기 위한 장치, 이를 위한 방법 및 이 방법을 수행하기 위한 프로그램이 기록된 컴퓨터 판독 가능한 기록매체 |
JP2018109910A (ja) * | 2017-01-05 | 2018-07-12 | 富士通株式会社 | 類似度判定プログラム、類似度判定方法および情報処理装置 |
JP2018109909A (ja) * | 2017-01-05 | 2018-07-12 | 富士通株式会社 | 類似度判定プログラム、類似度判定方法および情報処理装置 |
JP2018160172A (ja) * | 2017-03-23 | 2018-10-11 | 日本電気株式会社 | マルウェア判定方法、マルウェア判定装置及びマルウェア判定プログラム |
JP2019079493A (ja) * | 2017-10-18 | 2019-05-23 | エーオー カスペルスキー ラボAO Kaspersky Lab | 機械学習を用いる悪意のあるファイルを検出するシステムおよび方法 |
JP2020009415A (ja) * | 2018-06-29 | 2020-01-16 | エーオー カスペルスキー ラボAO Kaspersky Lab | 悪意のあるファイルで訓練された学習モデルを使用して悪意のあるファイルを識別するシステムおよび方法 |
CN112041815A (zh) * | 2018-05-15 | 2020-12-04 | 国际商业机器公司 | 恶意软件检测 |
JPWO2021038705A1 (ja) * | 2019-08-27 | 2021-03-04 | ||
WO2021059822A1 (ja) * | 2019-09-26 | 2021-04-01 | 日本電気株式会社 | 学習装置、判別システム、学習方法及び非一時的なコンピュータ可読媒体 |
US11797668B2 (en) | 2017-10-11 | 2023-10-24 | Mitsubishi Electric Corporation | Sample data generation apparatus, sample data generation method, and computer readable medium |
-
2015
- 2015-04-22 JP JP2015087924A patent/JP2016206950A/ja active Pending
Cited By (21)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2018109910A (ja) * | 2017-01-05 | 2018-07-12 | 富士通株式会社 | 類似度判定プログラム、類似度判定方法および情報処理装置 |
JP2018109909A (ja) * | 2017-01-05 | 2018-07-12 | 富士通株式会社 | 類似度判定プログラム、類似度判定方法および情報処理装置 |
US11048799B2 (en) | 2017-01-05 | 2021-06-29 | Fujitsu Limited | Dynamic malware analysis based on shared library call information |
US11036564B2 (en) | 2017-01-05 | 2021-06-15 | Fujitsu Limited | Non-transitory computer-readable storage medium, information processing apparatus and method for detecting malware |
JP2018160172A (ja) * | 2017-03-23 | 2018-10-11 | 日本電気株式会社 | マルウェア判定方法、マルウェア判定装置及びマルウェア判定プログラム |
KR101863615B1 (ko) * | 2017-05-24 | 2018-06-01 | (주)이스트소프트 | 신경망 학습 기반의 변종 악성 코드를 탐지하기 위한 장치, 이를 위한 방법 및 이 방법을 수행하기 위한 프로그램이 기록된 컴퓨터 판독 가능한 기록매체 |
WO2018217019A1 (ko) * | 2017-05-24 | 2018-11-29 | (주)이스트소프트 | 신경망 학습 기반의 변종 악성 코드를 탐지하기 위한 장치, 이를 위한 방법 및 이 방법을 수행하기 위한 프로그램이 기록된 컴퓨터 판독 가능한 기록매체 |
US11675903B2 (en) | 2017-05-24 | 2023-06-13 | Estsecurity Corp. | Apparatus for detecting variants of malicious code based on neural network learning, method therefor and computer readable recording medium storing program for performing the method |
US11797668B2 (en) | 2017-10-11 | 2023-10-24 | Mitsubishi Electric Corporation | Sample data generation apparatus, sample data generation method, and computer readable medium |
US10929534B2 (en) | 2017-10-18 | 2021-02-23 | AO Kaspersky Lab | System and method detecting malicious files using machine learning |
JP2019079493A (ja) * | 2017-10-18 | 2019-05-23 | エーオー カスペルスキー ラボAO Kaspersky Lab | 機械学習を用いる悪意のあるファイルを検出するシステムおよび方法 |
JP7300804B2 (ja) | 2018-05-15 | 2023-06-30 | インターナショナル・ビジネス・マシーンズ・コーポレーション | マルウェア検出 |
CN112041815A (zh) * | 2018-05-15 | 2020-12-04 | 国际商业机器公司 | 恶意软件检测 |
CN112041815B (zh) * | 2018-05-15 | 2024-06-11 | 国际商业机器公司 | 恶意软件检测 |
JP2021523434A (ja) * | 2018-05-15 | 2021-09-02 | インターナショナル・ビジネス・マシーンズ・コーポレーションInternational Business Machines Corporation | マルウェア検出 |
US11514160B2 (en) | 2018-06-29 | 2022-11-29 | AO Kaspersky Lab | System and method for determining a coefficient of harmfullness of a file using a trained learning model |
JP2020009415A (ja) * | 2018-06-29 | 2020-01-16 | エーオー カスペルスキー ラボAO Kaspersky Lab | 悪意のあるファイルで訓練された学習モデルを使用して悪意のあるファイルを識別するシステムおよび方法 |
JPWO2021038705A1 (ja) * | 2019-08-27 | 2021-03-04 | ||
JP7287478B2 (ja) | 2019-09-26 | 2023-06-06 | 日本電気株式会社 | 学習装置、判別システム、学習方法及び学習プログラム |
JPWO2021059822A1 (ja) * | 2019-09-26 | 2021-04-01 | ||
WO2021059822A1 (ja) * | 2019-09-26 | 2021-04-01 | 日本電気株式会社 | 学習装置、判別システム、学習方法及び非一時的なコンピュータ可読媒体 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP2016206950A (ja) | マルウェア判定のための精査教師データ出力装置、マルウェア判定システム、マルウェア判定方法およびマルウェア判定のための精査教師データ出力プログラム | |
US20210256127A1 (en) | System and method for automated machine-learning, zero-day malware detection | |
Baptista et al. | A novel malware detection system based on machine learning and binary visualization | |
CN109359439B (zh) | 软件检测方法、装置、设备及存储介质 | |
CN109145600B (zh) | 使用静态分析元素检测恶意文件的***和方法 | |
JP6039768B1 (ja) | 調整装置、調整方法および調整プログラム | |
Alazab et al. | Malware detection based on structural and behavioural features of API calls | |
RU2708356C1 (ru) | Система и способ двухэтапной классификации файлов | |
KR102317833B1 (ko) | 악성 코드 탐지 모델 학습 방법 및 이를 이용한 탐지 방법 | |
CN111382439A (zh) | 基于多模态深度学习的恶意软件检测方法 | |
US20190173897A1 (en) | Malicious communication log detection device, malicious communication log detection method, and malicious communication log detection program | |
JP2017004123A (ja) | 判定装置、判定方法および判定プログラム | |
CN111753290B (zh) | 软件类型的检测方法及相关设备 | |
CN111222137A (zh) | 一种程序分类模型训练方法、程序分类方法及装置 | |
WO2022100489A1 (en) | System, method and apparatus for malicious software detection | |
US11947572B2 (en) | Method and system for clustering executable files | |
Elkhawas et al. | Malware detection using opcode trigram sequence with SVM | |
KR20180133726A (ko) | 특징 벡터를 이용하여 데이터를 분류하는 장치 및 방법 | |
Li et al. | MDBA: Detecting malware based on bytes n-gram with association mining | |
JP6880891B2 (ja) | マルウェア判定方法、マルウェア判定装置及びマルウェア判定プログラム | |
Pashaei et al. | A combined SVM and Markov model approach for splice site identification | |
KR102434899B1 (ko) | 악성코드 탐지모델 학습방법 및 악성코드 탐지방법 | |
Chen et al. | A learning-based static malware detection system with integrated feature | |
CN111783088A (zh) | 一种恶意代码家族聚类方法、装置和计算机设备 | |
Shekhawat et al. | A review of malware classification methods using machine learning |