Explainable Ensemble Learning for Graph-Based Malware Detection

#### Контекст Граф-ориентированные подходы в машинном обучении становятся все более популярными для решения задач моделирования сложных структур данных, таких как бинарные файлы программ. Несмотря на заметную эффективность в обнаружении штурманских программ, существуют серьезные проблемы, связанные с прозрачностью и устойчивостью подобных моделей. Особенно критичны эти аспекты в области безопасности, где необходимо не только точно определить вредоносные программы, но и объяснить решение модели. Особенностью новых подходов является устойчивость к скрытым техникам замаскированности и их возможность объяснить свои выводы. #### Метод Мы предлагаем сочетание стекинговой модели и граф-наборных моделей для объяснения действий модели. Метод включает в себя формирование графов программных структур (например, CFG) из PE-файлов, применение нескольких моделей с разными видами пропускания сообщений, а также агрегацию результатов этих моделей с помощью мультиплейера с аттестацией. Для объяснения решений используется техника, основанная на весах внимания и интерпретируемых переходах в графах. #### Результаты Мы проводили эксперименты на большом датасете PE-файлов, сравнивая нашу модель с другими подходами в области графов и бинарного анализа. Наши результаты показывают, что стекинговая модель показывает высокую точность, а также обеспечивает понятные и интерпретируемые результаты для пользователей. Мы также проверили различные сценарии, включая обнаружение новых видов вредоносных программ, и показали устойчивость модели к изменениям вредоносных программ. #### Значимость Предложенная модель может использоваться в различных ситуациях, например, для мониторинга безопасности, анализа бинарных файлов и анализа функциональности программ. Наш подход предоставляет более надежную интерпретацию решений, что полезно для технических специалистов в области безопасности. Мы также отмечаем, что наша модель может быть применена для расширения технологии обучения наборов в других областях. #### Выводы Мы успешно разработали стекинговую модель для моделирования графа бинарных файлов и ее объяснения. Наш подход улучшает точность и устойчивость моделей в области безопасности. Будущие исследования будут ориентированы на улучшение устойчивости модели к новым видам вредоносных программ и дополнительное расширение применений этой модели.