Många angrepp, till exempel maskar, nätfiske och botnät, hotar Internets tillgänglighet, dess värdars integritet och användarnas integritet. En kärnelement av försvar mot dessa attacker är anti-virus (AV) programvara-en tjänst som upptäcker, tar bort, och karakteriserar dessa hot. Förmågan hos dessa produkter att framgångsrikt karakterisera dessa hot har långtgående effekter-från att underlätta delning mellan organisationer, att upptäcka uppkomsten av nya hot, och bedöma risken i karantän och sanering. I detta dokument undersöker vi förmågan hos befintliga värdbaserade anti-virus-produkter att ge semantiskt meningsfull information om skadlig programvara och verktyg (eller skadlig kod) som används av angripare. Med hjälp av en stor, senaste samling av malware som spänner över en mängd olika attackvektorer (t.ex., spionprogram, maskar, spam), visar vi att olika AV-produkter karakteriserar malware på sätt som är inkonsekventa mellan AV-produkter, ofullständiga över malware, och att misslyckas med att vara koncis i deras semantik. För att ta itu med dessa begränsningar föreslår vi en ny klassificeringsteknik som beskriver malware beteende i termer av systemtillstånd förändringar (t.ex. filer skrivna, processer skapas) snarare än i sekvenser eller mönster av systemsamtal. För att ta itu med den rena volymen av skadlig kod och mångfalden av dess beteende, ger vi en metod för att automatiskt kategorisera dessa profiler av skadlig kod i grupper som speglar liknande klasser av beteenden och visar hur beteendebaserade kluster ger ett mer direkt och effektivt sätt att klassificera och analysera Internet malware.
Bailey och Al. REF beskriver malwares beteende i form av systemtillståndsändringar (taget från händelseloggar).
Automated classification and analysis of internet malware
{'venue': 'In Proceedings of Recent Advances in Intrusion Detection (RAID’07', 'journal': None, 'mag_field_of_study': ['Computer Science']}