SCI Библиотека

В представленной статье осуществляется обширный анализ формата файла операционной системы (ОС) Windows, известного как Portable Executable (PE). Обсуждаются ключевые методы внедрения вредоносного программного обеспечения (ВПО) в структуру исполняемого файла, а также способы обнаружения таких вредоносных вмешательств. В рамках исследования проводится анализ информативных параметров PE-формата, пригодных для создания высокоэффективных моделей искусственного интеллекта (ИИ). Особое внимание уделяется их применимости в контексте обнаружения вредоносного кода (ВК) в файлах PE. Результаты анализа представляют собой ценный вклад в развитие методов качественного обучения ИИ, направленных на анализ и выявление вредоносных аспектов в программном обеспечении (ПО) ОС Windows.

Цифровизация современной экономики привела к масштабному проникновению информационных технологий в различные сферы человеческой деятельности. Кроме положительных эффектов это крайне обострило проблему противодействия киберугрозам, реализация которых злоумышленниками часто влечет за собой тяжелые последствия. Вредоносное программное обеспечение (ВПО) занимает важное место на современном ландшафте киберугроз, наиболее громкие киберпреступления последних лет связаны с применением ВПО. В связи с этим активно развивается проблемная область противодействия ВПО и одним из перспективных направлений исследований в данной области является создание методов детектирования ВПО на основе машинного обучения. Однако слабым местом многих известных исследований является построение достоверных наборов данных для моделей машинного обучения, когда авторы не раскрывают особенности формирования, предобработки и разметки данных о ВПО, что компрометирует воспроизводимость этих исследований. В данной работе предлагается методика сбора данных об активности ВПО, основанная на матрице MITRE ATT&CK и Sigma-правилах, и рассчитанная на операционные системы семейства Windows. Предлагаемая методика направлена на повышение качества наборов данных, содержащих характеристики поведения ВПО и легитимных процессов, а также на сокращение времени разметки данных экспертным способом. Для апробации методики подготовлен программный стенд и проведены эксперименты, подтвердившие ее адекватность.