PARIS：一個實用、自適應的追蹤擷取和實時惡意行為檢測系統

Kernkonzepte

針對現有惡意軟體動態檢測方法的不足，本文提出了一種名為 PARIS 的新型系統，它能夠以低系統開銷實現對惡意行為的實時、精確檢測。

Zusammenfassung

PARIS：一個實用、自適應的追蹤擷取和實時惡意行為檢測系統

本研究旨在解決現有惡意軟體動態檢測方法在系統開銷和檢測精度方面的局限性，開發一種能夠在低系統開銷下實現對惡意行為實時、精確檢測的新型系統。

自適應追蹤擷取： 利用 Windows 事件追蹤 (ETW) 監控惡意行為，並學習選擇性地收集與惡意行為相關的 API 或呼叫堆疊，從而顯著降低數據收集開銷。
行為識別： 基於收集到的精簡呼叫堆疊數據，使用隨機森林算法構建實時分類檢測器，識別惡意行為。
基於圖的 API 選擇： 構建基於呼叫堆疊的圖，評估每個 API 函數的重要性，過濾掉與特定行為無關的 API。
API 關聯分析： 使用 Apriori 算法分析 API 之間的關聯規則，去除語義冗餘的 API。
呼叫堆疊選擇： 通過行為相關性分析和循環壓縮算法，去除與惡意行為無關或冗餘的呼叫堆疊。
特徵嵌入： 使用 API 使用頻率作為特徵向量，輸入到檢測模型中進行分類。

Wichtige Erkenntnisse aus

PARIS: A Practical, Adaptive Trace-Fetching and Real-Time Malicious Behavior Detection System

by Jian Wang, L... um arxiv.org 11-05-2024

https://arxiv.org/pdf/2411.01273.pdf

Tiefere Fragen

如何評估 PARIS 系統在面對未知惡意軟體時的泛化能力？

評估 PARIS 系統面對未知惡意軟體的泛化能力，可以透過以下幾種方法：

使用未知惡意軟體樣本進行測試： 收集尚未被 PARIS 系統訓練過的惡意軟體樣本，並將其用於測試。透過分析 PARIS 系統在這些未知樣本上的偵測準確率、誤報率和漏報率，可以評估其泛化能力。

採用交叉驗證： 將已有的惡意軟體樣本分為訓練集和測試集，並使用不同的訓練集和測試集組合進行多次訓練和測試。透過觀察 PARIS 系統在不同測試集上的表現，可以評估其泛化能力和穩定性。

模擬惡意軟體變種： 基於已知的惡意軟體樣本，模擬生成其變種，例如修改部分程式碼、添加混淆技術等。透過測試 PARIS 系統對這些變種的偵測能力，可以評估其應對未知惡意軟體的能力。

關注系統對於新型攻擊行為的識別能力： 收集和分析新型攻擊的行為特徵，並評估 PARIS 系統是否能夠有效地識別這些行為。例如，可以測試 PARIS 系統對於利用零時差漏洞攻擊、新型勒索軟體等的偵測能力。

持續監控系統的誤報率： 在實際部署 PARIS 系統後，持續監控其誤報率。如果系統的誤報率持續升高，則可能意味著出現了新的惡意軟體或攻擊技術，需要更新 PARIS 系統的行為模型。

是否可以結合其他安全機制（如入侵檢測系統）來增強 PARIS 系統的防禦能力？

可以，結合其他安全機制可以有效增強 PARIS 系統的防禦能力。以下是一些可行的方案：

與入侵檢測系統（IDS）聯動： PARIS 系統可以將其檢測到的可疑行為信息傳遞給 IDS，以便 IDS 進行更深入的分析和判斷。例如，當 PARIS 系統檢測到可疑的 API 调用序列時，可以將相關信息發送給 IDS，由 IDS 根據更全面的規則庫和上下文信息進行判斷，提高整體的偵測準確率。

與端點偵測與回應系統（EDR）整合： PARIS 系統可以作為 EDR 系統的一個模組，為 EDR 提供更細粒度的行為分析能力。例如，EDR 可以利用 PARIS 系統提供的 API 调用信息，更準確地識別惡意程序的行为，並採取更精準的應對措施，例如隔離受感染的程序、阻止惡意網絡連接等。

與沙箱技術結合： 對於 PARIS 系統無法確定的可疑行為，可以將其提交到沙箱環境中進行動態分析。沙箱可以模擬真實的系統環境，並監控可疑程序的所有行為，以便更全面地評估其威脅程度。

與威脅情報平台聯動： PARIS 系統可以將其識別出的惡意行為特徵與威脅情報平台進行比對，以便更快速地識別已知的惡意軟體和攻擊技術。同時，PARIS 系統也可以將其發現的新型惡意行為特徵提交到威脅情報平台，以便共享給其他安全研究人員和機構。

隨著攻擊技術的不斷演進，如何持續更新 PARIS 系統的行為模型以應對新的威脅？

持續更新 PARIS 系統的行為模型至關重要，以下是一些可行的方法：

動態更新 API 特徵庫： 定期分析新的惡意軟體樣本，提取其使用的 API 调用序列和特徵，並將其添加到 PARIS 系統的 API 特徵庫中。

採用機器學習技術自動更新模型： 利用機器學習技術，例如增量學習、遷移學習等，讓 PARIS 系統能夠自動地從新的數據中學習和更新其行為模型，無需完全重新訓練模型。

建立行為模型更新機制： 建立一套完善的行為模型更新機制，包括新樣本收集、特徵提取、模型訓練、模型評估、模型部署等環節，確保 PARIS 系統能夠及時地應對新的威脅。

關注安全研究和威脅情報： 密切關注最新的安全研究成果和威脅情報，例如新型攻擊技術、惡意軟體變種等，並根據這些信息及時調整 PARIS 系統的行為模型和偵測策略。

與安全社區合作： 積極參與安全社區的交流與合作，例如共享威脅情報、共同研究新型攻擊技術等，共同提升 PARIS 系統的防禦能力。