Nya verk har visat löfte i att använda microarchitectural utförande mönster för att upptäcka malware program. Dessa detektorer tillhör en klass av detektorer som kallas signaturbaserade detektorer som de fångar malware genom att jämföra ett programs utförande mönster (signatur) med utförande mönster av kända malware program. I detta arbete föreslår vi en ny klass av detektorer - en ovanlig-baserad hårdvara malware detektorer - som inte kräver signaturer för malware upptäckt, och därmed kan fånga ett bredare utbud av malware inklusive potentiellt nya. Vi använder oövervakade maskininlärning för att bygga profiler av normalt program utförande baserat på data från prestandaräknare, och använda dessa profiler för att upptäcka betydande avvikelser i programbeteende som inträffar som ett resultat av malware exploatering. Vi visar att verklig exploatering av populära program som IE och Adobe PDF Reader på en Windows/x86-plattform kan upptäckas med nästan perfekt säkerhet. Vi undersöker också gränserna och utmaningarna vid genomförandet av detta tillvägagångssätt inför en sofistikerad motståndare som försöker undvika anomalibaserad upptäckt. Den föreslagna detektorn kompletterar tidigare föreslagna signaturbaserade detektorer och kan användas tillsammans för att förbättra säkerheten.
REF använder oövervakade maskininlärning på mikroarchitectural funktioner för att upptäcka skadlig kod.
Unsupervised Anomaly-based Malware Detection using Hardware Features
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}