ОБНАРУЖЕНИЕ ПРОГРАММ-ШИФРОВАЛЬЩИКОВ НА ОСНОВЕ ДАННЫХ МЕХАНИЗМА ТРАССИРОВКИ СОБЫТИЙ И ПРИМЕНЕНИЯ МЕТОДА МАШИННОГО ОБУЧЕНИЯ

Аннотация

В настоящее время многие аналитические компании отмечают значительный рост компьютерных инцидентов с использованием программ-шифровальщиков. Данный вид вредоносного программного обеспечения частично или полностью изменяет файлы пользователей, вынуждая заплатить выкуп для восстановления файлов. По результатам проведённого в работе сравнительного анализа существующих способов обнаружения программ-шифровальщиков были выявлены их недостатки и принято решение о разработке нового средства обнаружения с использованием аппарата машинного обучения. Анализ недавних атак с использованием программ- шифровальщиков позволил выявить ряд особенностей взаимодействия с файловой системой, присущих только вредоносным программам данного вида. Для сбора информации о таких событиях выбран механизм Windows Event Tracing for Windows (ETW), который предустановлен во все современные сборки Windows и имеет широкие возможности по регистрации различных событий ОС. Для выбора подходящего алгоритма машинного обучения были протестированы следующие алгоритмы: одноклассовый метод опорных векторов (One Class Support Vector Machines), алгоритм изолирующего леса (Isolation Forest) и алгоритм локального уровня выброса (Local Outlier Factor). В качестве основного был выбран алгоритм Isolation Forest. С использованием механизма ETW были получены два набора данных для легитимных программ, и для программ-шифровальщиков. Для безопасной генерации наборов данных, соответствующих программам-шифровальщикам, был разработан демонстрационный прототип ПО, который реализовал основные алгоритмы взаимодействия с файловой системой популярных программ-шифровальщиков. Полученная выборка была поделена в отношении 30% и 70% для обучающего и тестового наборов соответственно. Данные из тестовой выборки не участвовали в процессе обучения. Программная реализация системы обнаружения выполнена на языке Python. Разработанная система была успешно опробована с использованием недавних программ-шифровальщиков WannaCry и TeslaCrypt, а также популярных образцов легитимного ПО VeraCrypt, TrueCrypt, 7z, СУБД Oracle.