RU2018104438A

RU2018104438A - Система и способ обучения модели обнаружения вредоносных контейнеров

Info

Publication number: RU2018104438A
Application number: RU2018104438A
Authority: RU
Inventors: Владимир Владимирович Крылов; Александр Викторович Лискин; Алексей Евгеньевич Антонов
Original assignee: Акционерное общество "Лаборатория Касперского"
Priority date: 2018-02-06
Filing date: 2018-02-06
Publication date: 2019-08-06
Also published as: US10902118B2; CN110119620A; JP6758360B2; RU2018104438A3; CN110119620B; RU2697955C2; JP2019192198A; US20190243972A1

Claims

1. Система обучения модели обнаружения вредоносных контейнеров, при этом в качестве контейнера выступает файл, содержащий по меньшей мере два и более объектов, представляющих собой логически обособленные области данных упомянутого контейнера (далее - объекты), которая содержит

средство определения параметров, предназначенное для определения параметров каждого объекта, выбранного из анализируемого контейнера, при этом один из параметров характеризует функциональную связь объектов между собой;

средство формирования свертки, предназначенное для формирования свертки на основании параметров объектов, определенных средством определения параметров, в качестве которой выступает многомерный вектор, каждому элементу которого соответствует свой уникальный параметр из определенных параметров, а значение упомянутого элемента соответствует количеству объектов, для которых был определен упомянутый параметр;

средство обучения, предназначенное для машинного обучения модели обнаружения вредоносных контейнеров на основании по меньшей мере одной свертки, сформированной для безопасного контейнера и одного вредоносного контейнера, при этом упомянутая модель обнаружения представляет собой алгоритм вычисления степени вредоносности контейнера, а степень вредоносности контейнера - численное значение, характеризующее вероятность того, что упомянутый контейнер является вредоносным.

2. Система по п. 1, в которой дополнительно средство обучения предназначено для переобучения модели обнаружения вредоносных контейнеров в случае, когда вычисленная степень вредоносности контейнера находится в заранее заданном диапазоне пороговых значений таким образом, чтобы степень вредоносности, вычисленная на основании параметров объектов, выбранных с помощью переобученной модели определения параметров, была выше степени вредоносности контейнера, вычисленной на основании параметров объектов, выбранных с помощью непереобученной модели обнаружения вредоносных контейнеров.

3. Система по п. 1, в которой в качестве контейнера выступает по меньшей мере документ PDF; дистрибутив; файловый архив.

4. Система по п. 1, в которой в качестве объекта, выбранного из контейнера, выступает по меньшей мере исполняемый файл; сценарий; медиа-данные; контейнер.

5. Система по п. 1, в которой в качестве параметров объекта выступает по меньшей мере тип объекта; размер объекта; индекс объекта среди всех объектов, содержащихся в контейнере.

6. Способ обучения модели обнаружения вредоносных контейнеров, при этом в качестве контейнера выступает файл, содержащий по меньшей мере два и более объектов, представляющих собой логически обособленные области данных упомянутого контейнера (далее объекты), при этом способ содержит этапы, которые реализуются с помощью средств из системы по п. 1 и на которых

с помощью средства определения параметров определяют параметры каждого объекта, выбранного из по меньшей мере одного безопасного контейнера и одного вредоносного контейнера, однозначно характеризующие функциональную связь упомянутого объекта с по меньшей мере одним выбранным объектом;

с помощью средства формирования свертки формируют отдельно свертки для каждого контейнера на основании определенных параметров объектов, выбранных из упомянутого контейнера, при этом в качестве свертки выступает многомерный вектор, каждому элементу которого соответствует свой уникальный параметр из определенных параметров, а значение упомянутого элемента соответствует количеству объектов, для которых был определен упомянутый параметр;

с помощью средства обучения осуществляют машинное обучение модели обнаружения вредоносных контейнеров на основании сформированных сверток, при этом упомянутая модель обнаружения представляет собой алгоритм вычисления степени вредоносности контейнера, а степень вредоносности контейнера - численное значение, характеризующее вероятность того, что упомянутый контейнер является вредоносным.

7. Способ по п. 6, по которому дополнительно переобучают модель обнаружения вредоносных контейнеров в случае, когда вычисленная степень вредоносности контейнера находится в заранее заданном диапазоне пороговых значений таким образом, чтобы степень вредоносности, вычисленная на основании параметров объектов, выбранных с помощью переобученной модели определения параметров, была выше степени вредоносности, вычисленной на основании параметров объектов, выбранных с помощью непереобученной модели обнаружения вредоносных контейнеров.

8. Способ по п. 6, в которой в качестве контейнера выступает по меньшей мере документ PDF; дистрибутив; файловый архив.

9. Способ по п. 6, в которой в качестве объекта, выбранного из контейнера, выступает по меньшей мере исполняемый файл; сценарий; медиа-данные; контейнер.

10. Способ по п. 6, в которой в качестве параметров объекта выступает по меньшей мере тип объекта; размер объекта; индекс объекта среди всех объектов, содержащихся в контейнере.