Система и способ определения процесса, связанного с вредоносным программным обеспечением, шифрующим файлы компьютерной системы

1. Способ определения процесса, связанного с вредоносным программным обеспечением, шифрующим файлы компьютерной системы (далее - шифровальщик), в котором
а) определяют с использованием средства обработки по меньшей мере один файл, в который была произведена запись данных (далее - изменение) подозрительным процессом на основании обработки системных вызовов, используемых подозрительным процессом;
б) определяют с использованием средства обработки характеристики каждого упомянутого файла;
в) определяют класс изменения каждого упомянутого файла с использованием средства анализа путем применения обученной первой модели машинного обучения, получающей в качестве входных данных упомянутые характеристики файла;
г) с использованием средства анализа определяют подозрительный процесс как связанный с шифровальщиком на основании класса изменения файла, определенного для каждого упомянутого файла.
2. Способ по п. 1, в котором класс изменения включает: изменения, произведенные шифровальщиком; изменения, произведенные легитимным программным обеспечением.
3. Способ по п. 2, в котором для каждого упомянутого файла дополнительно определяют вероятность принадлежности изменений файла к одному из классов изменений.
4. Способ по п. 3, в котором определяют количество файлов, для которых вероятность изменения файла шифровальщиком превышает первый порог, затем если определенное количество файлов превышает второй порог, определяют подозрительный процесс как связанный с шифровальщиком.
5. Способ по п. 2, в котором определяют подозрительный процесс как связанный с шифровальщиком, если количество файлов, классифицированных как измененные шифровальщиком, превышает второй порог.
6. Способ по п. 1, в котором характеристики файла включают одну или несколько из следующих характеристик:
а) энтропию по меньшей мере части файла;
б) метаданные файла;
в) по меньшей мере одну часть файла.
7. Способ по п. 1, в котором первая модель машинного обучения является одной из:
а) нейронная сеть;
б) решающее дерево;
в) случайный лес;
г) метод опорных векторов;
д) метод k-ближайших соседей;
е) логистическая регрессия;
ж) линейная регрессия;
з) байесовская классификация;
и) градиентный бустинг.
8. Способ по п. 1, в котором определяют подозрительный процесс как связанный с шифровальщиком путем применения обученной второй модели машинного обучения, получающей в качестве входных данных определенные классы изменения для каждого определенного файла.
9. Способ по п. 8, в котором с использованием средства обработки дополнительно определяют:
а) характеристики подозрительного процесса, в частности, идентификатор подозрительного процесса, контекст подозрительного процесса;
б) события средства защиты, связанные с наблюдаемым процессом;
в) информацию о системе;
при этом вторая модель машинного обучения дополнительно получает в качестве входных данных определенные характеристики подозрительного процесса, упомянутые события средства защиты, информацию о системе.
10. Способ по п. 8, в котором вторая модель машинного обучения является одной из:
а) нейронная сеть;
б) решающее дерево;
в) случайный лес;
г) метод опорных векторов;
д) метод k-ближайших соседей;
е) логистическая регрессия;
ж) линейная регрессия;
з) байесовская классификация;
и) градиентный бустинг.
11. Система определения процесса, связанного с вредоносным программным обеспечением, шифрующим файлы компьютерной системы, содержащая:
а) средство обработки, предназначенное для:
определения по меньшей мере одного файла, в который была произведена запись данных подозрительным процессом на основании обработки системных вызовов, используемых подозрительным процессом;
определения характеристик каждого упомянутого файла;
б) средство анализа, предназначенное для:
определения класса изменения каждого упомянутого файла
путем применения обученной первой модели машинного обучения, получающей в качестве входных данных упомянутые характеристики файла;
определения подозрительного процесса как связанного с шифровальщиком на основании класса изменения файла, определенного для каждого упомянутого файла; в) средство обучения, предназначенное для обучения первой модели машинного обучения на данных обучающей выборки, включающей характеристики файлов, созданных или измененных по меньшей мере одним известным процессом, связанным с по меньшей мере одним известным шифровальщиком.
12. Система по п. 11, в которой обучающая выборка дополнительно включает характеристики файлов, созданных или измененных по меньшей мере одним известным легитимным процессом, связанным с по меньшей мере одним известным легитимным программным обеспечением.
13. Система по п. 11, в которой средство обучения дополнительно предназначено для тестирования и валидации обученной первой модели машинного обучения на данных тестовой и валидационной выборок соответственно, включающих характеристики файлов, созданных или измененных по меньшей мере одним известным процессом, связанным с по меньшей мере одним известным шифровальщиком, при этом файлы тестовой и валидационной выборок отсутствуют в обучающей выборке.
14. Система по п. 11, в которой класс изменения включает: изменения, произведенные шифровальщиком; изменения, произведенные легитимным программным обеспечением.
15. Система по п. 14, в которой для каждого упомянутого файла первая модель машинного обучения дополнительно определяет вероятность принадлежности изменений файла к одному из классов изменений.
16. Система по п. 15, в которой средство анализа определяет количество файлов, для которых вероятность изменения файла шифровальщиком превышает первый порог, затем если определенное количество файлов превышает второй порог, определяют подозрительный процесс как связанный с шифровальщиком.
17. Система по п. 14, в которой средство анализа определяет подозрительный процесс как связанный с шифровальщиком, если количество файлов, классифицированных как измененные шифровальщиком, превышает второй порог.
18. Система по п. 11, в которой характеристики файла включают
а) энтропию по меньшей мере части файла;
б) метаданные файла;
в) по меньшей мере одну часть файла.
19. Система по п. 11, в которой первая модель машинного обучения является одной из:
а) нейронная сеть;
б) решающее дерево;
в) случайный лес;
г) метод опорных векторов;
д) метод k-ближайших соседей;
е) логистическая регрессия;
ж) линейная регрессия;
з) байесовская классификация;
и) градиентный бустинг.
20. Система по п. 11, в которой средство анализа дополнительно служит для определения подозрительного процесса как связанного с шифровальщиком путем применения обученной второй модели машинного обучения, получающей в качестве входных данных определенные классы изменения для каждого определенного файла.
21. Система по п. 20, в которой средство обработки дополнительно определяет
а) характеристики подозрительного процесса, в частности, идентификатор подозрительного процесса, контекст подозрительного процесса;
б) события средства зашиты, связанные с наблюдаемым процессом;
в) информацию о системе;
при этом вторая модель машинного обучения дополнительно получает в качестве входных данных определенные характеристики подозрительного процесса, упомянутые события средства защиты, информацию о системе.
22. Система по п. 20, в которой вторая модель машинного обучения является одной из
а) нейронная сеть;
б) решающее дерево;
в) случайный лес;
г) метод опорных векторов;
д) метод k-ближайших соседей;
е) логистическая регрессия;
ж) линейная регрессия;
з) байесовская классификация;
и) градиентный бустинг.
23. Система по п. 20, в которой средство обучения дополнительно предназначено для обучения второй модели машинного обучения на данных второй обучающей выборки, включающей классы изменений файлов, созданных или измененных по меньшей мере одним известным процессом, связанным с по меньшей мере одним известным шифровальщиком.
24. Система по п. 23, в которой вторая обучающая выборка дополнительно включает классы изменений файлов, созданных или измененных по меньшей мере одним известным легитимным процессом, связанным с по меньшей мере одним известным легитимным программным обеспечением.
25. Система по п. 23, в которой средство обучения дополнительно предназначено для тестирования и валидации обученной второй модели машинного обучения на данных второй тестовой и второй валидационной выборок соответственно, включающих характеристики файлов, созданных или измененных по меньшей мере одним известным процессом, связанным с по меньшей мере одним известным шифровальщиком, при этом файлы второй тестовой и второй валидационной выборок отсутствуют во второй обучающей выборке.