Assembly kodu üzerinden doğal dil işleme ve yapay zeka ile zararlı yazılım tespiti
Malware detection through natural language processing and artificial intelligence on assembly codes
Yazar: ALPER EĞİTMEN
Danışman: PROF. DR. SIRMA YAVUZ ; PROF. DR. ALİ GÖKHAN YAVUZ
Yıldız Teknik Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Bilgisayar Mühendisliği Bilim Dalı
Derece: Doktora, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Zararlı yazılımlar, dijital iş akışları için önemli bir tehdittir. Geleneksel modelleme yöntemleri, çeşitli algoritmalar ya da bir uzman tarafından çıkarılan özelliklerin kullanılmasına odaklanırken, son zamanlardaki gelişmeler öğrenme tabanlı metodolojilerin gerekliliğini ortaya koymuştur. Nitelik ve nicelik evrim geçiren zararlı yazılımlarla, uzmanlar tarafından yapılan geleneksel "yakala- izole et- parmak izi çıkar" yöntemleri, mücadelede yetersiz kalmıştır. Çalışmamız statik analiz ile elde edilen Assembly kodları üzerinde, doğal dil işleme metotlarının kullanılarak karmaşık bir siber güvenlik problemini belge sınıflandırma problemine indirgeyen öğrenme tabanlı bir metodoloji sunmaktadır. Önerdiğimiz model, birden fazla davranışsal hedef değişkeni ile regüle edilen konvolüsyonel sinir ağlarının Assembly kodları ile eğitilerek sınıflandırma yapmaktadır. Bu model, birbirinden farklı bilgisayar sistemleri ve veri setleri üzerinde çeşitli gerçek dünya dayanım testlerine de sokularak doğrulanmıştır. Çalışmalarımız zararlı yazılım araştırmacılarının karşılaştığı problemler ve bunların önerilen modellere etkisini de araştırarak, model cevaplarının gerçek dünya senaryolarında nasıl tepkiler verebileceği üzerine simülasyonlar gerçekleştirmiştir.  Metodolojimiz, zararlı yazılımların yetkinlik ve davranışını etiketleyen hedef değişkenlerin, baz derin öğrenme modellerini regüle etmesinin, sınıflandırma performansını hemen artırdığını göstermiştir. Metodolojimizin katkıları, AMDARGUS (Android) ve MOTIF (Windows) veri setleri üzerinde yapılan kapsamlı testler ile doğrulanmıştır. Ortalama sınıflandırma başarısı ve F1 skorları, modelimizin diğer konvolüsyon tabanlı mimarilere kıyasla girdilerde yapılan manipülasyon saldırılarına karşı daha dayanıklı olduğunu göstermiştir. Çalışmamız, modelimizin genelleştirme başarısını ölçmek adına, sıfırıncı gün zararlı yazılımları testine sokulmuş ve baz modellere göre başarımı oldukça arttırdığı görülmüştür.

Abstract:
Malware is a significant threat to digital workflows. While traditional modeling methods focus on using various algorithms for fingerprinting or features extracted by an expert, recent developments have proved the necessity of learning-based methodologies. Evolving quality and quantity of malware, the conventional "capture-isolate-fingerprint" approach by experts have proven inadequate in combating. Our study presents a deep learning method that reduces a complex cybersecurity problem to a simplier "document classification" problem by using natural language processing methods on Assembly code obtained by static analysis. The proposed model performs classification by training convolutional neural networks which regulated by multiple behavioral weak target variables. This model has been validated through various real-world tests on different computer architectures and datasets. Our research also investigates the challenges faced by malware researchers and the impact of these challenges on the proposed models over real-world scenarios. Our methodology demonstrates that the regulation of basic deep learning models by weak target variables immediately improve classification performance. The contributions of our methodology have been validated through extensive tests on the AMDARGUS (Android) and MOTIF (Windows) datasets. The average classification accuracy and F1 scores show that our model is more resilient to manipulation attacks on inputs compared to other convolutional-based architectures. To measure the generalization success of our model, zero-day malware testing conducted and it showed significant improvement over baseline models.