Система и способ обнаружения вредоносного файла

1. Система обнаружения вредоносного файла, которая содержит
а) средство сбора данных, предназначенное для формирования на основании собранных данных о поведении выполнения файла, вектора признаков, характеризующих упомянутое поведение, при этом вектор признаков представляет собой свертку собранных данных, сформированную в виде совокупности чисел;
б) средство вычисления параметров, предназначенное для вычисления на основании сформированного средством сбора данных вектора признаков с использованием обученной модели вычисления параметров степени вредоносности, представляющей численное значение, характеризующего вероятность того, что файл может оказаться вредоносным, и предельной степени безопасности, представляющей собой численное значение, характеризующее вероятность того, что файл гарантированно окажется вредоносным, при этом совокупность последовательно вычисленных упомянутых степеней описывается заранее заданным временным законом;
в) средство анализа, предназначенное для вынесения решения об обнаружении вредоносного файла, в случае, когда собранные данные о поведении выполнения файла удовлетворяют заранее заданному критерию определения вредоносности, сформированному на основании вычисленных средством вычисления параметров степени вредоносности и предельной степени безопасности, при этом в качестве упомянутого критерия выступает правило классификации файла по установленной взаимосвязи между степенью вредоносности и предельной степени безопасности.
2. Система по п. 1, в которой модель вычисления параметров была предварительно обучена методом машинного обучения на по меньшей мере одном безопасном файле и вредоносном файле.
3. Система по п. 1, в которой в качестве метода машинного обучения модели вычисления параметров выступает по меньшей мере:
градиентный бустинг на деревьях принятия решений;
решающие деревья;
метод ближайших соседей kNN;
метод опорных векторов.
4. Система по п. 1, в которой данные о поведении исполнения файла включают по меньшей мере:
выполняемые файлом команды, передаваемые упомянутым командам атрибуты и возвращаемые значения;
данные участков оперативной памяти, модифицируемые выполняемым файлом;
статические параметры файла.
5. Система, по п. 1, в которой по меньшей мере вычисляемая степень вредоносности или предельная степень безопасности зависят от степени вредоносности и соответственно предельной степени безопасности, вычисленных в момент запуска файла на основании анализа статических данных файла.
6. Система по п. 1, в которой обученная модель вычисления параметров представляет собой совокупность правил вычисления степени вредоносности файла и предельной степени безопасности файла, зависящих от определенных данных о поведении исполнения файла.
7. Система по п. 1, в которой временные законы, описывающие совокупность последовательно вычисленных степеней вредоносности и совокупность последовательно вычисленных предельных степеней безопасности, имеют монотонных характер.
8. Система по п. 1, в котором в качестве взаимосвязи между степенью вредоносности и предельной степени безопасности выступает по меньшей мере:
отличие расстояния между степенью вредоносности и граничными условиями вредоносности от заранее заданного порогового значения;
отличие площади, ограниченной в заданном временном интервале между степенью вредоносности и граничными условиями, от заранее заданного порогового значения;
отличие скорости взаимного роста кривой, описывающей изменение степени вредоносности и граничных условий вредоносности от времени, от заранее заданного значения.
9. Система по п. 1, которая дополнительно содержит средство корректировки параметров, предназначенное для переобучения модели вычисления параметров на основании анализа вычисленных степени вредоносности и предельной степени безопасности, в результате которого изменения во временных законах, описывающих степень вредоносности и предельную степень безопасности, приводят к тому, что взаимосвязь между значениями, полученными на основании упомянутых законов стремится к максимальной.
10. Система по п. 9, в которой модель вычисления параметров переобучают таким образом, чтобы при использовании упомянутой модели, сформированный впоследствии критерий обеспечивал по меньшей мере:
точность определения степени вредоносности и предельной степени безопасности была выше, чем при использовании необученной модели вычисления параметров;
использование вычислительных ресурсов были ниже, чем при использовании необученной модели вычисления параметров.
11. Способ обнаружения вредоносного файла, при этом способ содержит этапы, которые реализуются с помощью средств из системы по п. 1 и на которых:
а) формируют на основании собранных данных о поведении исполнения файла, вектор признаков, характеризующих упомянутое поведение, при этом вектор признаков представляет собой свертку собранных данных, сформированную в виде совокупности чисел;
б) вычисляют на основании сформированного вектора признаков с использованием обученной модели вычисления параметров степень вредоносности, представляющую численное значение, характеризующего вероятность того, что файл может оказаться вредоносным, и предельную степень безопасности, представляющую собой численное значение, характеризующее вероятность того, что файл гарантированно окажется вредоносным, при этом совокупность последовательно вычисленных упомянутых степеней описывается заранее заданным временным законом;
в) выполняют этапы а) - б) для разных последовательных временных интервалов исполнения анализируемого файла;
г) выносят решение об обнаружении вредоносного файла, в случае, когда собранные данные о поведении исполнения файла удовлетворяют заранее заданному критерию определения вредоносности, сформированному на основании вычисленных на предыдущем этапе степени вредоносности и предельной степени безопасности, при этом в качестве упомянутого критерия выступает правило классификации файла по установленной взаимосвязи между степенью вредоносности и предельной степени безопасности.
12. Способ по п. 11, по которому модель вычисления параметров была предварительно обучена методом машинного обучения на по меньшей мере одном безопасном файле и вредоносном файле.
13. Способ по п. 11, по которому в качестве метода машинного обучения модели вычисления параметров выступает по меньшей мере:
градиентный бустинг на деревьях принятия решений;
решающие деревья;
метод ближайших соседей kNN;
метод опорных векторов.
14. Способ по п. 11, по которому данные о поведении исполнения файла включают по меньшей мере:
выполняемые файлом команды, передаваемые упомянутым командам атрибуты и возвращаемые значения;
данные участков оперативной памяти, модифицируемые выполняемым файлом;
статические параметры файла.
15. Способ по п. 11, по которому по меньшей мере вычисляемая степень вредоносности или предельная степень безопасности зависят от степени вредоносности и соответственно предельной степени безопасности, вычисленных в момент запуска файла на основании анализа статических данных файла.
16. Способ по п. 11, по которому обученная модель вычисления параметров представляет собой совокупность правил вычисления степени вредоносности файла и предельной степени безопасности файла, зависящих от определенных данных о поведении исполнения файла.
17. Способ по п. 11, по которому временные законы, описывающие совокупность последовательно вычисленных степеней вредоносности и совокупность последовательно вычисленных предельных степеней безопасности, имеют монотонных характер.
18. Способ по п. 11, по которому в качестве взаимосвязи между степенью вредоносности и предельной степени безопасности выступает по меньшей мере:
отличие расстояния между степенью вредоносности и граничными условиями вредоносности от заранее заданного порогового значения;
отличие площади, ограниченной в заданном временном интервале между степенью вредоносности и граничными условиями, от заранее заданного порогового значения;
отличие скорости взаимного роста кривой, описывающей изменение степени вредоносности и граничных условий вредоносности от времени, от заранее заданного значения.
19. Способ по п. 11, по которому дополнительно переобучают модель вычисления параметров на основании анализа вычисленных степени вредоносности и предельной степени безопасности, в результате которого изменения во временных законах, описывающих степень вредоносности и предельную степень безопасности, приводят к тому, что взаимосвязь между значениями, полученными на основании упомянутых законов стремится к максимальной.
20. Способ по п. 19, по которому модель вычисления параметров переобучают таким образом, чтобы при использовании упомянутой модели, сформированный впоследствии критерий обеспечивал по меньшей мере:
точность определения степени вредоносности и предельной степени безопасности была выше, чем при использовании необученной модели вычисления параметров;
использование вычислительных ресурсов были ниже, чем при использовании необученной модели вычисления параметров.