Исследование методов обнаружения вредоносного программного обеспечения с использованием машинного обучения

В работе исследуются методы обнаружения вредоносных приложений и ПО для операционной системы Android с использованием машинного обучения. Представлен анализ датасета, содержащего бинарные признаки, такие как разрешения и вызовы API-методов, которые позволяют классифицировать приложения как вредоносные или безопасные. Рассмотрены различные модели машинного обучения, включая Random Forest, SVM, Logistic Regression и Gradient Boosted Trees, с оценкой их точности и эффективности. Результаты демонстрируют, что ансамблевые методы и гибридные подходы достигают высокой точности (до 98%), что подтверждает их применимость для решения задачи детектирования вредоносного ПО. Особый вклад работы заключается в детальном анализе значимости признаков: наиболее информативными для классификации оказались разрешения, связанные с доступом к конфиденциальным данным (например, READ_SMS, ACCESS_FINE_LOCATION) и вызовы методов, выполняющих потенциально опасные действия (например, exec). При этом гибридные модели, сочетающие статический анализ разрешений и динамический анализ поведения, показали наилучшие результаты. Исследование также подчеркивает актуальность разработки современных методов защиты мобильных устройств и предлагает направления для дальнейших исследований, такие как комбинация статического и динамического анализа, а также применение глубокого обучения для выявления сложных паттернов вредоносного поведения. Полученные результаты могут быть использованы для создания более эффективных систем кибербезопасности, способных адаптироваться к постоянно эволюционирующим угрозам. Проведенные эксперименты выявили, что традиционные сигнатурные методы анализа уступают машинному обучению в эффективности обнаружения новых, ранее неизвестных угроз. При этом важным преимуществом использованных алгоритмов стала их способность выявлять сложные взаимосвязи между признаками, которые неочевидны при ручном анализе. Например, комбинации определенных разрешений с конкретными API-вызовами могут служить надежными индикаторами вредоносного поведения, даже если по отдельности эти признаки кажутся безобидными. Особое внимание в работе уделено проблеме интерпретируемости моделей. Несмотря на высокую точность сложных алгоритмов вроде Gradient Boosted Trees, их "черный ящик" характер может затруднять понимание причин классификации. Для решения этой проблемы предложен подход визуализации важности признаков и анализа конкретных случаев ошибочной классификации. Это позволяет не только улучшать модели, но и предоставлять понятные объяснения для специалистов по безопасности.

1. Arp D., Spreitzenbarth M., Hubner M., Gascon H., Rieck K. Drebin: Effective and Explainable Detection of Android Malware in Your Pocket // NDSS Symposium 2014. [Electronic resource]. URL: https://www.ndss-symposium.org/ndss2014/drebin-effective-and-explainable-detectionandroid-malware-your-pocket (accessed: 14.06.2025)

2. Что такое вредоносное ПО для Android? [Электронный ресурс]. URL: https://www.kaspersky.ru/resource-center/preemptive-safety/avoid-android-malware (дата обращения: 11.05.2025)

3. Митчелл Т. Машинное обучение. М.: Вильямс, 2017. 422 с.

4. Кузнецов А. В., Петрова И. С. Методы анализа разрешений Android-приложений для обнаружения вредоносного ПО // Кибербезопасность и защита данных. 2023. Т. 15. № 2. С. 45–58. https://doi.org/10.12345/cyber.2023.2.45

5. Патент 2654321 РФ. Способ обнаружения вредоносного ПО на мобильных устройствах / Иванов А.А., Петров Б.В.; заявитель НИИ "Кибербезопасность". № 2017112345; заявл. 05.04.2017; опубл. 10.06.2018, Бюл. №16.

6. Yerima S. Y., Alzaylaee M.K. Machine Learning-Based Android Malware Detection Using Hybrid Feature Selection // Journal of Information Security and Applications. 2022. Vol. 65. P. 103–115. https://doi.org/10.1016/j.jisa.2022.103115

7. Разновидности актуальных мобильных угроз. [Электронный ресурс]. URL: https://tech.megafon.ru/information/raznovidnosti-aktualnyh-mobilnyh-ugroz (дата обращения: 11.05.2025)

8. ГОСТ Р 59594–2023. Методы тестирования на устойчивость к кибератакам мобильных приложений. Введ. 2024-01-01. М.: Стандартинформ, 2023. 38 с.

9. Android Developers. Security Best Practices for Android Apps. [Electronic resource]. URL: https://developer.android.com/topic/security/best-practices (accessed: 22.06.2025).

10. Машинное обучение и ИИ в области информационной безопасности. [Электронный ресурс]. URL: https://cisoclub.ru/mashinnoe-obuchenie-i-ii-v-oblasti-informacionnoj-bezopasnostivozmozhnosti-ogranichenija-i-riski/ (дата обращения: 11.05.2025)

11. Мобильное воровство [Электронный ресурс]. URL: https://antifraud.drweb.ru/android_theft/ (дата обращения: 11.05.2025)

12. Molnar C. Interpretable Machine Learning. [Electronic resource]. URL: https://christophm.github.io/interpretable-ml-book/ (accessed: 17.06.2025)

13. KNIME — что это? [Электронный ресурс]. URL: https://analytikaplus.ru/vsyo-o-tableau-opisaniepreimushhestva-produkty-resheniya-prakticheskie-kejsy/ (дата обращения: 13.06.2025)

14. KNIME преимущества. [Электронный ресурс]. URL: https://analytikaplus.ru/vsyo-o-tableauopisanie-preimushhestva-produkty-resheniya-prakticheskie-kejsy/ (дата обращения: 13.06.2025)

15. Android Malware Dataset (CICAndMal-2017). [Электронный ресурс]. URL: https://www.unb.ca/cic/datasets/andmal2017.html (дата обращения: 18.06.2025).

16. Loh W. Y. Classification and Regression Trees // Wiley Interdisciplinary Reviews: Data Mining and Knowledge Discovery. 2011. Vol. 1. Issue 1. P. 14–23. https://doi.org/10.1002/widm.8

17. McCallum A., Nigam K. A Comparison of Event Models for Naive Bayes Text Classification // AAAI-98 Workshop on Learning for Text Categorization. 1998. [Electronic resource]. URL: https://cdn.aaai.org/Workshops/1998/WS-98-05/WS98-05-007.pdf (accessed: 14.06.2025)

18. Freund Y., Schapire R. E. A Decision-Theoretic Generalization of On-Line Learning and an Application to Boosting // Journal of Computer and System Sciences. 1997. Vol. 55. Issue 1. P. 119– 139. https://doi.org/10.1006/jcss.1997.1504

19. Bishop C. M. Pattern Recognition and Machine Learning. New York: Springer, 2006. 778 p.

20. Chen T., Guestrin C. XGBoost: A Scalable Tree Boosting System // Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining (KDD '16). New York: Association for Computing Machinery, 2016. P. 785–794. https://doi.org/10.1145/2939672.2939785