Подход к разработке программного комплекса распознавания вредоносного программного обеспечения с использованием сверточных нейронных сетей

Размещено на http://www.allbest.ru/

Подход к разработке программного комплекса распознавания вредоносного программного обеспечения с использованием сверточных нейронных сетей

Частикова Вера Аркадьевна

Доцент, кандидат технических наук, доцент кафедры компьютерных технологий и информационной безопасности института компьютерных систем и информационной безопасности Кубанского государственного технологического университета

Малыхина Мария Петровна

Профессор, кандидат технических наук, профессор кафедры компьютерных технологий и информационной безопасности института компьютерных систем и информационной безопасности Кубанского государственного технологического университета

Аннотация

Проблемы информационной безопасности стояли остро всегда, но в настоящее время цена вредоносного вмешательства во много раз возросла и может иметь значительные негативные последствия. В работе рассмотрены: одна из возможных технологий распознавания вредоносного программного обеспечения на основе сверточных нейронных сетей, а также ряд алгоритмов, выполняющих подготовку и необходимые преобразования исходных данных. Разработан и описан алгоритм процесса конвертирования поступающих в программный комплекс исполняемых файлов в черно-белые изображения, позволяющий сформировать собственный набор данных для обучения нейронной сети на основе полученных изображений. Описана структура и функционирование программного комплекса, реализующего предложенную методику, включающего в себя подсистему преобразования анализируемых файлов, подсистему обучения и тестирования нейронной сети, а также подсистему распознавания вредоносного программного обеспечения на основе обученной модели нейросети. В результате проведенных исследований на ряде тестовых наборов данных была получена достаточно высокая точность распознавания вредоносного программного обеспечения.

Ключевые слова: вредоносное программное обеспечение, сверточная нейронная сеть, файл, изображение.

Abstract

Chastikova Vera Arkadyevna, Associate Professor, Candidate of Technical Sciences, Associate Professor of the Department of Computer Technologies and Information Security, Institute of Computer Systems and Information Security, Kuban State University of Technology

Malykhina Mariya Petrovna, Professor, Candidate of Technical Sciences, Professor of the Department of Computer Technologies and Information Security, Institute of Computer Systems and Information Security, Kuban State University of Technology

Information security problems have always been acute, but at present the cost of malicious intervention has increased many times and can have significant negative consequences. The paper considers one of the possible malware detection technologies based on convolutional neural networks, as well as a number of algorithms that prepare and transform the necessary source data. An algorithm has been developed and described for the process of converting executable files received in the software package into black and white images, which allows one to form their own data set for training a neural network based on the images obtained. The structure and functioning of a software package that implements the proposed methodology is described, which includes a subsystem for converting analyzed files, a subsystem for training and testing a neural network, and a malware recognition subsystem based on a trained neural network model. As a result of studies on a number of test data sets, a fairly high accuracy of malware detection was obtained.

Keywords: malware, convolutional neural network, file, image.

Проблемы информационной безопасности всегда стояли остро, но в настоящее время цена вредоносного вмешательства во много раз возросла и может иметь значительные негативные последствия. Одна из важнейших задач защиты информации, для решения которой применяются различные методы и подходы, - обнаружение вредоносного программного обеспечения [1]. В предыдущем исследовании [2] приведены методика распознавания вредоносного программного обеспечения на основе сверточных нейронных сетей и алгоритм преобразования анализируемых бинарных исполняемых файлов в черно-белые изображения для комплексного и более унифицированного подхода к распознаванию вредоносных программ. Данная работа посвящена рассмотрению подхода к программной реализации описанных алгоритмов.

Реализация подсистемы обработки входных данных

программный распознавание нейронный сеть

Алгоритм преобразования двоичного файла в изображение. Для обработки данных с помощью сверточной нейронной сети необходимо выполнить предварительную подготовку входного набора. Процесс конвертирования преобразует входные исполняемые файлы в черно-белые изображения [3], далее обрабатываемые нейронной сетью. Этот процесс был описан и схематично представлен в [1], данные функции выполняет подсистема обработки входных данных (раздел программного комплекса «Преобразование анализируемого файла») рассматриваемого в работе программного комплекса. После того, как программа закончит преобразование, изображение анализируемого файла (примеры представлены на рисунке 1) будет сохранено в том же каталоге, в котором находился и сам обрабатываемый файл.

Интенсивность цвета отдельного пикселя полученного изображения задается в зависимости от значения соответствующего байта в диапазоне от 0 до 255. Считывание анализируемого файла по байтам обусловлено тем, что байт является элементарной единицей хранения информации в компьютерных системах.

Рис 1. Примеры преобразования исполняемого файла в изображение

Для анализа итоговых изображений, полученных в результате преобразования, необходимо использовать сверточную нейронную сеть.

Реализация программного комплекса

Реализация архитектуры сверточной нейронной сети для распознавания вредоносных программ была выполнена при помощи WinPython для языка Python 3.6.8 с использованием открытой библиотеки Keras [4, 5].

Основной задачей программного комплекса является первичная обработка поступающих в программный комплекс бинарных файлов и загрузка итоговых изображений на вход нейронной сети. Для обучения спроектированной нейронной сети необходим набор обучающих примеров, на основании которых будет совершаться динамическая оптимизация синаптических весов данной сети.

Для этой цели сформирован собственный набор данных, состоящий из 500 изображений, полученных после преобразования исполняемых файлов с различными характеристиками, которые можно разделить на вредоносные и безопасные. Изображения вредоносных и безопасных исполняемых файлов, полученные с помощью подсистемы обработки входных данных, распределены по разным каталогам. Итоговый набор данных для обучения представлен в виде набора графических данных, которые отражают особенности исполняемого файла и приведены к одному общему виду, а именно к размеру 32x32 пикселя.

В процессе обработки набора данных программой каждому изображению в выборке ставится в соответствие определенная метка в зависимости от того, в каком каталоге был расположен данный файл, например, 0 - файл является вредоносным (находится в каталоге с наименованием “malware”), 1 - файл является безопасным (находится в каталоге с наименованием “benign”). Используемый бинаризатор меток после обучения нейронной сети сохраняется в определенный файл.

Соответствующий набор меток необходим для реализации процесса обучения нейронной сети с учителем. Во время обучения после завершения каждой итерации нейронная сеть с использованием алгоритма обратного распространения ошибки изменяет весовые коэффициенты на основе значения вычисленной ошибки [6, 7]. Применяемая нейронная сеть содержит один бинарный выход с сигмоидальной функцией активации.

Для обучения нейронной сети используется обучающая выборка, которая содержит 75% от количества изображений исходного набора данных. При этом порядок обработки образов на каждом этапе обучения меняется случайным образом. Оставшиеся 25% процентов изображений из набора данных используются для тестирования точности функционирования обученной нейронной сети. Алгоритм подстройки весов нейронной сети во время обучения является итеративным, его шаги называются циклами или эпохами (epochs). Количество эпох в данном случае составляет 75. Спроектированная и реализованная нейронная сеть показывает около 90% точности распознавания вредоносных файлов как в процессе обучения, так и в процессе тестирования.

Раздел программного комплекса «Обучение и тестирование нейронной сети» (рис. 2) позволяет произвести обучение и тестирование спроектированной нейронной сети с использованием указанного набора данных, просмотр логов процесса, а также сохранение уже обученной нейросети в файл для дальнейшего применения. Это дает возможность использовать полученную модель не только в разработанном программном комплексе, но и в других приложениях.

Раздел программы «Распознавание с использованием обученной модели» приведен на рисунке 3. Он предоставляет возможность на основе полученной модели обнаружить вредоносный файл.

Рис. 2. Раздел программы «Обучение и тестирование нейронной сети» обученной модели»