تشخیص بدافزار در سطح سخت افزار با استفاده از تجزیه مقدار تکین

یکی از گسترده ترین تھدیدات موجود در فضای مجازی وجود نرم افزارھای مخرب می باشد. نرم افزارھای مخرب برنامه ھایی ھستند که با اھداف متفاوت به دنبال خسارت زدن به کاربران بوده و از این جھت آنھا را بدافزار می نامند. از آنجایی که بدافزارھای متفاوت دارای ساختارھای متفاوت در طراحی، پیاده سازی و نحوه انتشار می باشند، آگاھی از روند اجرایی آنھا کمک شایانی به شناخت و تحلیل آنھا می کند. در فرآیندتشخیص ابتدا بایستی به جمع آوری داده پرداخت، سپس فرآیند تشخیص متناسب با داده ھای به دست آمده صورت می گیرد. روش ھای تشخیص به دو دسته تشخیص سوءاستفاده و تشخیص ناھنجاری تقسیم می شوند که تشخیص سوء استفاده به دو دسته تشخیص مبتنی بر یادگیری و تشخیص مبتنی بر امضا دسته بندی می شود. در این مقاله، روش جدیدی برای تشخیص مبتنی بر امضا پیشنھاد می شود که از جنبه ی جدیدی در پردازنده ھای امروزی به نام شمارنده ھای کارایی سخت افزاری استفاده می کند. روش پیشنھادی شامل دو مرحله می باشد که در ھر مرحله به صورت مجزا امضا تولید می شود و تشخیص صورت می گیرد. در مرحله تولید امضا برای ھر خانواده بدافزار یک امضای رفتاری تولید می شود. برای این منظور، ھر نمونه بدافزار در یک محیط کنترل شده اجرا شده و در بازه ھای مشخص مجموعه ای از رویدادھای کارایی نمونه برداری می شود. داده ھای نمونه برداری شده به دلیل نادقیق بودن، توسط پنجره لغزان ھموار می شوند. سپس از تجزیه مقادیر تکین استفاده کرده و اولین بردار ویژه و اولین مقدار ویژه را جھت تطبیق اولیه استخراج می نماییم و به این صورت خانواده ھایی را که احتمال می رود نمونه به آن تعلق داشته باشد را کاندید می کنیم. پس از آن در مرحله دوم با اعمال موجک گسسته و تجزیه مقادیر تکین روی خانواده ھای کاندید شده، امضای رفتاری در مرحله ی دوم تولید می شود و تطبیق ثانویه می دھیم. نتایج آزمایش ھای انجام شده روی یک مجموعه دادگان از برنامه ھای عادی و مخرب کارایی روش پیشنھادی را برای تشخیص بدافزار نشان می دھد.

تشخیص بدافزار در سطح سخت افزار با استفاده از تجزیه مقدار تکین Keywords:

تشخیص بدافزار , تجزیه مقادیر تکین , امضای دو مرحله ای , شمارنده کارایی سخت افزاری , تبدیل موجک گسسته