Microsofts PowerShell är ett kommandoradsskal och skriptspråk som installeras som standard på Windows-maskiner. Baserat på Microsofts.NET ramverk, innehåller det ett gränssnitt som gör det möjligt för programmerare att få tillgång till operativsystem tjänster. PowerShell kan konfigureras av administratörer för att begränsa åtkomst och minska sårbarheter, men dessa begränsningar kan kringgås. Dessutom kan PowerShell kommandon enkelt genereras dynamiskt, exekveras från minne, kodas och fördunklas, vilket gör loggning och rättsmedicinsk analys av kod som utförs av PowerShell utmanande. Av alla dessa skäl, PowerShell används allt mer av cyberbrottslingar som en del av deras attacker verktygskedja, främst för att ladda ner skadligt innehåll och för lateral rörelse. Faktum är att en nyligen genomförd omfattande teknisk rapport från Symantec tillägnad PowerShells missbruk av cyberkrimiler [1] rapporterade om en kraftig ökning av antalet skadliga PowerShell-prover som de fick och av antalet penetrationsverktyg och ramar som använder PowerShell. Detta belyser det akuta behovet av att utveckla effektiva metoder för att upptäcka skadliga PowerShell kommandon. I detta arbete tar vi itu med denna utmaning genom att implementera flera nya detektorer av skadliga PowerShell kommandon och utvärdera deras prestanda. Vi implementerade både "traditionella" naturliga språkbearbetning (NLP) baserade detektorer och detektorer baserade på karaktärsnivå konvolutionella neurala nätverk (CNN). Detektorernas prestanda utvärderades med hjälp av en stor datauppsättning i verkligheten. Våra utvärderingsresultat visar att även om våra detektorer (och särskilt de traditionella NLP-baserade) individuellt ger hög prestanda, så ger en ensembledetektor som kombinerar en NLP-baserad klassiator med en CNN-baserad klassifier den bästa prestandan, eftersom den senare klassiatorn kan upptäcka skadliga kommandon som lyckas undvika den förra. Vår analys av dessa undvikande kommandon visar att vissa obfuscation mönster som automatiskt upptäcks av CNN klassificeraren är i sig svårt att upptäcka med hjälp av NLP-tekniker som vi tillämpat. Våra detektorer ger höga recall-värden samtidigt som de bibehåller en mycket låg falsk positiv frekvens, vilket gör oss försiktigt optimistiska om att de kan vara av praktiskt värde.
Hendler m.fl. I Ref föreslogs en klassificeringsmetod där tekniker för behandling av naturligt språk (NLP) och konvolutionella neurala nätverk (CNN) användes tillsammans.
Detecting Malicious PowerShell Commands using Deep Neural Networks
{'venue': "ASIACCS '18", 'journal': None, 'mag_field_of_study': ['Computer Science']}