2025-11-22T13:13:16.451892

iCNN-LSTM: A batch-based incremental ransomware detection system using Sysmon

Ispahany, Islam, Khan et al.

In response to the increasing ransomware threat, this study presents a novel detection system that integrates Convolutional Neural Networks (CNNs) and Long Short-Term Memory (LSTM) networks. By leveraging Sysmon logs, the system enables real-time analysis on Windows-based endpoints. Our approach overcomes the limitations of traditional models by employing batch-based incremental learning, allowing the system to continuously adapt to new ransomware variants without requiring complete retraining. The proposed model achieved an impressive average F2-score of 99.61\%, with low false positive and false negative rates of 0.17\% and 4.69\%, respectively, within a highly imbalanced dataset. This demonstrates exceptional accuracy in identifying malicious behaviour. The dynamic detection capabilities of Sysmon enhance the model's effectiveness by providing a reliable stream of security events, mitigating the vulnerabilities associated with static detection methods. Furthermore, the parallel processing of LSTM modules, combined with attention mechanisms, significantly improves training efficiency and reduces latency, making our system well-suited for real-world applications. These findings underscore the potential of our CNN-LSTM framework as a robust solution for real-time ransomware detection, ensuring adaptability and resilience in the face of evolving cyber threats.

academic

iCNN-LSTM: Sysmon ব্যবহার করে ব্যাচ-ভিত্তিক ক্রমবর্ধমান র‍্যানসমওয়্যার সনাক্তকরণ ব্যবস্থা

মৌলিক তথ্য

পেপার আইডি: 2501.01083
শিরোনাম: iCNN-LSTM: A batch-based incremental ransomware detection system using Sysmon
লেখক: জামিল ইসপাহানি, এমডি রাফিকুল ইসলাম, এম. আরিফ খান, এমডি জাহিদুল ইসলাম (চার্লস স্টার্ট বিশ্ববিদ্যালয়, অস্ট্রেলিয়া)
শ্রেণীবিভাগ: cs.CR (ক্রিপ্টোগ্রাফি এবং নিরাপত্তা)
প্রকাশনার সময়: ২০২৫ সালের ২ জানুয়ারি (arXiv প্রাক-প্রিন্ট)
পেপার লিংক: https://arxiv.org/abs/2501.01083

সারসংক্ষেপ

ক্রমবর্ধমান র‍্যানসমওয়্যার হুমকির মোকাবেলায়, এই গবেষণা কনভোলিউশনাল নিউরাল নেটওয়ার্ক (CNN) এবং দীর্ঘ স্বল্পমেয়াদী স্মৃতি নেটওয়ার্ক (LSTM) সমন্বিত একটি নতুন সনাক্তকরণ ব্যবস্থা প্রস্তাব করে। এই ব্যবস্থা Windows এন্ডপয়েন্টে রিয়েল-টাইম বিশ্লেষণের জন্য Sysmon লগ ব্যবহার করে। ব্যাচ-ভিত্তিক ক্রমবর্ধমান শেখার পদ্ধতি গ্রহণ করে, সিস্টেম সম্পূর্ণ পুনরায় প্রশিক্ষণ ছাড়াই ক্রমাগত নতুন র‍্যানসমওয়্যার ভেরিয়েন্টের সাথে খাপ খাইয়ে নিতে পারে। প্রস্তাবিত মডেল অত্যন্ত ভারসাম্যহীন ডেটাসেটে ৯৯.৬১% গড় F2 স্কোর অর্জন করেছে, যেখানে মিথ্যা ইতিবাচক হার এবং মিথ্যা নেতিবাচক হার যথাক্রমে ০.১৭% এবং ৪.৬৯%, যা দূষিত আচরণ সনাক্তকরণে অসাধারণ নির্ভুলতা প্রদর্শন করে।

গবেষণা পটভূমি এবং প্রেরণা

সমস্যার সংজ্ঞা

১. র‍্যানসমওয়্যার হুমকির বৃদ্ধি: COVID-19 মহামারীর পর থেকে, র‍্যানসমওয়্যার বৈশ্বিক একটি প্রধান চ্যালেঞ্জ হয়ে উঠেছে, যেমন Colonial Pipeline আক্রমণ ৪.৪ মিলিয়ন ডলারের বেশি ক্ষতি করেছে २. ঐতিহ্যবাহী সনাক্তকরণ পদ্ধতির সীমাবদ্ধতা:

স্বাক্ষর-ভিত্তিক পদ্ধতি নতুন ভেরিয়েন্ট বা রূপান্তরিত র‍্যানসমওয়্যার সনাক্ত করতে পারে না
বিদ্যমান গভীর শেখার মডেলগুলি সম্পূর্ণভাবে পুনর্নির্মাণের প্রয়োজন, যা বিশাল সম্পদ ব্যয় এবং অদক্ষতার কারণ হয়
নতুন হুমকির সাথে রিয়েল-টাইম খাপ খাইয়ে নেওয়ার ক্ষমতার অভাব

গবেষণার প্রেরণা

१. রিয়েল-টাইম সনাক্তকরণের প্রয়োজনীয়তা: র‍্যানসমওয়্যার আক্রমণ দ্রুত গতিতে ঘটে, দ্রুত প্রতিক্রিয়া প্রক্রিয়ার প্রয়োজন २. ক্রমবর্ধমান শেখার প্রয়োজনীয়তা: র‍্যানসমওয়্যার ভেরিয়েন্ট ঘন ঘন আবির্ভূত হয়, মডেলের পুনরায় প্রশিক্ষণের পরিবর্তে ক্রমাগত আপডেটের প্রয়োজন ३. গতিশীল সনাক্তকরণের সুবিধা: স্থির সনাক্তকরণের তুলনায়, গতিশীল সনাক্তকরণ বিভ্রান্তি এবং বহুরূপতা প্রতিরোধ কৌশল অতিক্রম করতে পারে

মূল অবদান

१. নতুন সনাক্তকরণ স্থাপত্য: Sysmon লগ স্ট্রিমের উপর ভিত্তি করে একটি দক্ষ র‍্যানসমওয়্যার সনাক্তকরণ ব্যবস্থা প্রস্তাব করা হয়েছে, যা ভারসাম্যহীন ডেটাসেটে ৯৯.৬১% F2 স্কোর এবং ৪.৬৯% কম মিথ্যা ইতিবাচক হার অর্জন করে

२. ক্রমাগত শেখার প্রক্রিয়া: ছোট ব্যাচ ডেটার উপর ভিত্তি করে ক্রমাগত শেখার পদ্ধতি বাস্তবায়ন করা হয়েছে, SMOTE প্রযুক্তির মাধ্যমে শ্রেণী ভারসাম্যহীনতা সমাধান করে, নতুন র‍্যানসমওয়্যার স্ট্রেইনের প্রতি মডেলের অভিযোজনযোগ্যতা উন্নত করে

३. দক্ষ প্রক্রিয়াকরণ স্থাপত্য: সমান্তরাল LSTM কনফিগারেশন এবং মনোযোগ প্রক্রিয়া সহ CNN-LSTM গভীর শেখার স্থাপত্য প্রস্তাব করা হয়েছে, যা চালনার সময় উল্লেখযোগ্যভাবে হ্রাস করে এবং প্রক্রিয়াকরণ দক্ষতা উন্নত করে, রিয়েল-টাইম প্রয়োগের জন্য উপযুক্ত

পদ্ধতির বিস্তারিত বিবরণ

কাজের সংজ্ঞা

ইনপুট: Sysmon ইভেন্ট লগ স্ট্রিম (প্রক্রিয়া সৃষ্টি, ফাইল অপারেশন, নেটওয়ার্ক সংযোগ সহ ২৯ ধরনের ডিফল্ট ইভেন্ট প্রকার) আউটপুট: দ্বিমুখী শ্রেণীবিভাগ ফলাফল (র‍্যানসমওয়্যার/সুস্থ সফটওয়্যার) সীমাবদ্ধতা: রিয়েল-টাইম প্রক্রিয়াকরণ, কম মিথ্যা ইতিবাচক হার, নতুন ভেরিয়েন্টের সাথে খাপ খাইয়ে নেওয়া

মডেল স্থাপত্য

१. সামগ্রিক কাঠামো ডিজাইন

সিস্টেম একটি ব্যাচ ক্রমবর্ধমান সনাক্তকরণ কাঠামো গ্রহণ করে, যাতে নিম্নলিখিত মূল উপাদান রয়েছে:

ডেটা সংগ্রহ স্তর: Sysmon এজেন্ট সিস্টেম ইভেন্ট সংগ্রহ করে
বৈশিষ্ট্য নিষ্কাশন স্তর: fastText ব্যবহার করে শব্দ ভেক্টর রূপান্তর
বৈশিষ্ট্য নির্বাচন স্তর: Pearson সহসম্বন্ধ সহগ-ভিত্তিক মূল বৈশিষ্ট্য নির্বাচন
শ্রেণীবিভাগ স্তর: CNN-LSTM হাইব্রিড মডেল
ক্রমবর্ধমান আপডেট স্তর: ছোট ব্যাচ-ভিত্তিক মডেল ওজন আপডেট

२. CNN মডিউল ডিজাইন

ক্রমবর্ধমান Sysmon ইভেন্ট ডেটা প্রক্রিয়া করার জন্য এক-মাত্রিক CNN ব্যবহার করা হয়:

$y[n] = b + \sum_{m=0}^{M-1} w[m] \cdot x[n + m]$

$a_k[n] = \sigma(b + \sum_{m=0}^{M-1} w[m] \cdot x[n + m])$

যেখানে σ সক্রিয়করণ ফাংশন, wm কনভোলিউশনাল কার্নেল ওজন, b পক্ষপাত পদ।

३. LSTM মডিউল ডিজাইন

সময়ের উপর নির্ভরশীল সম্পর্ক প্রক্রিয়া করার জন্য সমান্তরাল LSTM কনফিগারেশন ব্যবহার করা হয়:

বিস্মৃতি গেট: $f_t = \sigma(W_f \cdot [h_{t-1}, x_t] + b_f)$
ইনপুট গেট: $i_t = \sigma(W_i \cdot [h_{t-1}, x_t] + b_i)$
প্রার্থী মূল্য: $\tilde{C}_t = \tanh(W_C \cdot [h_{t-1}, x_t] + b_C)$
কোষ অবস্থা আপডেট: $C_t = f_t * C_{t-1} + i_t * \tilde{C}_t$
আউটপুট গেট: $o_t = \sigma(W_o \cdot [h_{t-1}, x_t] + b_o)$
লুকানো অবস্থা: $h_t = o_t * \tanh(C_t)$

४. মনোযোগ প্রক্রিয়া

মূল তথ্যের প্রতি মডেলের মনোযোগ বৃদ্ধি করে:

$e_t = v_a^T \tanh(W_a \cdot h_t)$ $\alpha_t = \frac{\exp(e_t)}{\sum_{k=1}^T \exp(e_k)}$ $c = \sum_{t=1}^T \alpha_t h_t$

প্রযুক্তিগত উদ্ভাবনী পয়েন্ট

१. সমান্তরাল LSTM প্রক্রিয়াকরণ: ঐতিহ্যবাহী ক্রমিক স্ট্যাকিংয়ের তুলনায়, সমান্তরাল কনফিগারেশন গণনার বাধা উল্লেখযোগ্যভাবে হ্রাস করে २. ব্যাচ ক্রমবর্ধমান শেখা: উদাহরণ ক্রমবর্ধমান শেখার ধারণা বিচ্যুতি এবং বিপর্যয়মূলক বিস্মৃতি সমস্যা এড়ায় ३. গতিশীল বৈশিষ্ট্য নির্বাচন: PCC-ভিত্তিক বৈশিষ্ট্য নির্বাচন প্রক্রিয়া ডেটা বিতরণ পরিবর্তনের সাথে খাপ খাইয়ে নিতে পারে ४. SMOTE শ্রেণী ভারসাম্য: র‍্যানসমওয়্যারের সংখ্যালঘু শ্রেণী হিসাবে ভারসাম্যহীনতা সমস্যা কার্যকরভাবে সমাধান করে

পরীক্ষামূলক সেটআপ

ডেটাসেট

আকার: প্রায় ২০০,০০০ ইভেন্ট (১৭৬,১৩০টি সুস্থ ইভেন্ট, ২০,৭১০টি র‍্যানসমওয়্যার ইভেন্ট)
র‍্যানসমওয়্যার পরিবার: ৬টি প্রধান পরিবার (AvosLocker, BlackBasta, Conti, Hive, Lockbit, REvil)
ডেটা উৎস: VirusTotal এবং HybridAnalysis প্ল্যাটফর্ম
পরিবেশ সেটআপ: Windows 11 ভার্চুয়াল মেশিন, সম্পূর্ণ ইন্টারনেট সংযোগ, বাস্তব উৎপাদন পরিবেশ অনুকরণ

ডেটা প্রাক-প্রক্রিয়াকরণ

१. মানকীকরণ: Standard Scaler ব্যবহার করে বৈশিষ্ট্য মানকীকরণ २. বৈশিষ্ট্য নিষ্কাশন: fastText শব্দ এম্বেডিং, ৫२টি মূল বৈশিষ্ট্য প্রক্রিয়াকরণ ३. বৈশিষ্ট্য নির্বাচন: PCC-ভিত্তিক ৬টি মূল বৈশিষ্ট্য নির্বাচন (CallTrace, GrantedAccess, SourceUser ইত্যাদি) ४. শ্রেণী ভারসাম্য: SMOTE প্রযুক্তি শ্রেণী ভারসাম্যহীনতা পরিচালনা করে

মূল্যায়ন মেট্রিক্স

প্রধান মেট্রিক: F2 স্কোর (β=२, পুনরুদ্ধার হার জোর দেয়)
সহায়ক মেট্রিক্স: F1 স্কোর, নির্ভুলতা, পুনরুদ্ধার হার, নির্ভুলতা, মিথ্যা ইতিবাচক হার, মিথ্যা নেতিবাচক হার, চালনার সময়

তুলনামূলক পদ্ধতি

७টি ভিত্তিরেখা মডেল অন্তর্ভুক্ত:

३-স্তরীয় স্ট্যাকড LSTM (Maniath et al.)
CNN-LSTM সংমিশ্রণ মডেল (Agrawal et al., Akhtar & Feng)
একক-স্তরীয় LSTM (Homayoun et al.)
বহু-স্তরীয় CNN মনোযোগ প্রক্রিয়া (Zhang et al.)
তিন-স্তরীয় CNN-LSTM ক্রমিক স্ট্যাকিং (Bensaoud & Kalita)

বাস্তবায়ন বিবরণ

হাইপারপ্যারামিটার অপ্টিমাইজেশন: Optuna স্বয়ংক্রিয় টিউনিং ব্যবহার করে
CNN প্যারামিটার: কনভোলিউশনাল কার্নেল আকার ९, ফিল্টার সংখ্যা ३२
LSTM প্যারামিটার: ३८४ ইউনিট, dropout হার ०.१०३
প্রশিক্ষণ প্যারামিটার: Adam অপ্টিমাইজার, শেখার হার ०.००१, ব্যাচ আকার १०२४, १०० epoch

পরীক্ষামূলক ফলাফল

প্রধান ফলাফল

মডেল	F1 স্কোর	F2 স्कोर	পুনরুদ্ধার হার	নির্ভুলতা	মিথ্যা ইতিবাচক হার	মিথ্যা নেতিবাচক হার	চালনার সময়
iCNN-LSTM	९९.६१%	९९.६१%	९९.६२%	९९.६१%	०.१७%	४.६९%	१९५.६९s
Bensaoud & Kalita	९९.५६%	९९.५६%	९९.५६%	९९.५६%	०.२२%	५.१३%	३०३.३५s
Akhtar & Feng	९९.४१%	९९.४०%	९९.४१%	९९.४१%	०.२३%	५.२२%	४२७.६२s
Agrawal et al.	९९.४३%	९९.४३%	९९.४४%	९९.४३%	२.६%	६.४५%	१५८५.५४s

ক্রমবর্ধমান শেখার কর্মক্ষমতা

অন্যান্য ক্রমবর্ধমান শেখার পদ্ধতির সাথে তুলনা:

গবেষণা	F1 স্কোর	F२ স्कोर	পুনরুদ্ধার হার	নির্ভুলতা
Roy & Chen	९९.३९%	९९.०३%	९८.८%	१००%
Al-rimy et al.	९८.७०%	९९.०२%	९९.२४%	९८.१६%
iCNN-LSTM	९९.६१%	९९.६१%	९९.६२%	९९.६१%

বিলোপন পরীক্ষা

१. সমান্তরাল বনাম ক্রমিক LSTM: সমান্তরাল কনফিগারেশন ক্রমিক কনফিগারেশনের তুলনায় প্রশিক্ষণ সময় প্রায় ३५% হ্রাস করে २. মনোযোগ প্রক্রিয়া: F२ স্কোর প্রায় २% বৃদ্ধি করে ३. বৈশিষ্ট্য নির্বাচন: PCC-নির্বাচিত ६টি বৈশিষ্ট্য সমস্ত ५२টি বৈশিষ্ট্যের তুলনায় দক্ষতা উন্নত করে এবং কর্মক্ষমতা বজায় রাখে

পরীক্ষামূলক অনুসন্ধান

१. সময় দক্ষতার সুবিধা: মিথ্যা ইতিবাচক হার २०% এর নিচে মডেলগুলির মধ্যে, এই পদ্ধতি সবচেয়ে কম চালনার সময় রয়েছে २. স্থিতিশীলতা: F२ স্কোর সম্পূর্ণ ক्রমবর्ধमান আপডেট প্রক্রিয়া জুড়ে ९९% এর উপরে স্থিতিশীলভাবে বজায় থাকে ३. অভিযোজনযোগ্যতা: নতুন র‍্যানসমওয়্যার পরিবারের সাথে দ্রুত খাপ খাইয়ে নিতে পারে, আপডেটের পরে কর্মক্ষমতা দ্রুত পুনরুদ্ধার হয়

উপসংহার এবং আলোচনা

প্রধান উপসংহার

१. প্রস্তাবিত iCNN-LSTM সিস্টেম র‍্যানসমওয়্যার সনাক্তকরণ কাজে চমৎকার কর্মক্ষমতা অর্জন করেছে २. ব্যাচ ক্রমবর্ধমান শেখার প্রক্রিয়া সম্পূর্ণ পুনরায় প্রশিক্ষণ ছাড়াই নতুন হুমকির সাথে কার্যকরভাবে খাপ খাইয়ে নিতে পারে ३. সমান্তরাল LSTM স্থাপত্য এবং মনোযোগ প্রক্রিয়া প্রক্রিয়াকরণ দক্ষতা উল্লেখযোগ্যভাবে উন্নত করেছে

সীমাবদ্ধতা

१. স্থির ব্যাচ আকার: বর্তমানে স্থির ১०,००० ইভেন্ট ব্যাচ ব্যবহার করা হয়, গতিশীল সমন্বয় প্রক্রিয়ার অভাব २. মডেল অবনতি সনাক্তকরণ: মডেল কর্মক্ষমতা অবনতি সনাক্তকরণ এবং মোকাবেলার প্রক্রিয়ার অভাব ३. সম্পদ ব্যয় বিশ্লেষণ: গণনা সম্পদ ব্যয় পরিস্থিতির বিস্তারিত বিশ্লেষণ অনুপস্থিত ४. বৈশিষ্ট্য সেট পরিবর্তন: বৈশিষ্ট্য সেট পরিবর্তিত হলে ঐতিহাসিক ডেটা পুনরায় প্রশিক্ষণের প্রয়োজন

ভবিষ্যত দিকনির্দেশনা

१. মডেল অবনতি সনাক্তকরণ এবং মোকাবেলার কৌশল বিকাশ করা २. স্বয়ংক্রিয় ব্যাচ আকার সমন্বয় প্রক্রিয়া অন্বেষণ করা ३. গণনা সম্পদ ব্যয় এবং অপ্টিমাইজেশন কৌশল গভীরভাবে বিশ্লেষণ করা ४. অন্যান্য ধরনের দূষিত সফটওয়্যার সনাক্তকরণে সম্প্রসারণ করা

গভীর মূল্যায়ন

শক্তি

१. প্রযুক্তিগত উদ্ভাবনী শক্তি শক্তিশালী: সমান্তরাল LSTM কনফিগারেশন এবং ব্যাচ ক্রমবর্ধমান শেখার সমন্বয় উদ্ভাবনী २. পরীক্ষামূলক ডিজাইন সম্পূর্ণ: পর্যাপ্ত তুলনামূলক পরীক্ষা এবং বিলোপন পরীক্ষা অন্তর্ভুক্ত ३. ব্যবহারিক প্রয়োগ মূল্য উচ্চ: বাস্তব স্থাপনায় মূল সমস্যা সমাধান করে (রিয়েল-টাইমতা, অভিযোজনযোগ্যতা) ४. কর্মক্ষমতা প্রদর্শন চমৎকার: একাধিক মেট্রিক্সে শীর্ষস্থানীয় স্তরে পৌঁছেছে ५. লেখার স্পষ্টতা ভালো: প্রযুক্তিগত বিবরণ স্পষ্ট, গাণিতিক সূত্র নির্ভুল

অপূর্ণতা

१. ডেটাসেট আকার সীমাবদ্ধতা: যদিও ६টি র‍্যানসমওয়্যার পরিবার অন্তর্ভুক্ত, সামগ্রিক আকার তুলনামূলকভাবে সীমিত २. সাধারণীকরণ ক্ষমতা মূল্যায়ন: অন্যান্য ডেটাসেটে যাচাইকরণের অভাব ३. প্রতিকূল আক্রমণ স্থিতিস্থাপকতা: সনাক্তকরণ সিস্টেমের বিরুদ্ধে প্রতিকূল আক্রমণ বিবেচনা করা হয়নি ४. স্থাপনা জটিলতা: বাস্তব স্থাপনায় মুখোমুখি হতে পারে এমন প্রকৌশল চ্যালেঞ্জ আলোচনা অপর্যাপ্ত

প্রভাব

१. একাডেমিক অবদান: নেটওয়ার্ক নিরাপত্তা ক্ষেত্রে ক্রমবর্ধমান শেখার প্রয়োগের জন্য গুরুত্বপূর্ণ রেফারেন্স প্রদান করে २. ব্যবহারিক মূল্য: বাস্তব নেটওয়ার্ক নিরাপত্তা সুরক্ষায় মূল সমস্যা সরাসরি সমাধান করে ३. পুনরুৎপাদনযোগ্যতা: বিস্তারিত বাস্তবায়ন বিবরণ এবং হাইপারপ্যারামিটার সেটিং প্রদান করে

প্রযোজ্য পরিস্থিতি

१. এন্টারপ্রাইজ নেটওয়ার্ক নিরাপত্তা: রিয়েল-টাইম পর্যবেক্ষণের প্রয়োজন এমন এন্টারপ্রাইজ পরিবেশে প্রযোজ্য २. এন্ডপয়েন্ট সনাক্তকরণ প্রতিক্রিয়া (EDR): EDR সমাধানে একীভূত করা যায় ३. নিরাপত্তা অপারেশন সেন্টার (SOC): SOC-কে স্বয়ংক্রিয় হুমকি সনাক্তকরণ ক্ষমতা প্রদান করে ४. ক্লাউড নিরাপত্তা সেবা: ক্লাউড নিরাপত্তা সনাক্তকরণ সেবা হিসাবে স্থাপন করা যায়

তথ্যসূত্র

পেপারটি সমৃদ্ধ সম্পর্কিত কাজ উদ্ধৃত করে, প্রধানত অন্তর্ভুক্ত:

দূষিত সফটওয়্যার সনাক্তকরণে গভীর শেখার প্রয়োগ গবেষণা
ক্রমিক ডেটা প্রক্রিয়াকরণে CNN এবং LSTM পদ্ধতি
ক্রমবর্ধমান শেখা এবং অনলাইন শেখার তাত্ত্বিক ভিত্তি
সিস্টেম পর্যবেক্ষণে Sysmon প্রয়োগ অনুশীলন

সামগ্রিক মূল্যায়ন: এটি নেটওয়ার্ক নিরাপত্তা ক্ষেত্রের একটি উচ্চমানের গবেষণা পেপার, প্রযুক্তিগত উদ্ভাবন, পরীক্ষামূলক যাচাইকরণ এবং ব্যবহারিক প্রয়োগ মূল্যের দিক থেকে চমৎকার পারফরম্যান্স প্রদর্শন করে। বিশেষত ক্রমবর্ধমান শেখা এবং রিয়েল-টাইম সনাক্তকরণের ক্ষেত্রে অবদান এই ক্ষেত্রের জন্য গুরুত্বপূর্ণ।