Обучение совместным вложениям графов вызовов функций и процессов для обнаружения вредоносного ПО

Основная информация

• ID статьи: 2510.09984
• Название: Learning Joint Embeddings of Function and Process Call Graphs for Malware Detection
• Авторы: Kartikeya Aneja (University of Wisconsin-Madison), Nagender Aneja (Virginia Tech), Murat Kantarcioglu (Virginia Tech)
• Классификация: cs.LG (машинное обучение), cs.CR (криптография и безопасность)
• Конференция: 39-я конференция по нейронным системам обработки информации (NeurIPS 2025) Семинар: Новые перспективы в развитии машинного обучения на графах
• Ссылка на статью: https://arxiv.org/abs/2510.09984

Аннотация

Программные системы могут быть представлены в виде графических структур, отражающих зависимости между функциями и процессами. В зависимости от целей извлечения и приоритетов программные системы могут быть представлены различными типами графов. Например, граф вызовов функций (FCG) выделяет отношения между функциями, тогда как граф взаимодействия процессов (PCG) сосредоточен на поведении во время выполнения и межпроцессном взаимодействии. Хотя эти графические представления связаны, каждое из них отражает различные аспекты системы, предоставляя дополняющую информацию. Предыдущие исследования в основном сосредоточены на одном графическом представлении, а работ по совместному моделированию FCG и PCG относительно мало. В данной статье предлагается GeminiNet — унифицированный нейросетевой подход для обучения совместным вложениям FCG и PCG. Эксперименты на наборе данных из 635 исполняемых файлов Windows показывают, что совместные вложения значительно превосходят модели с одним графом.

Исследовательский контекст и мотивация

Определение проблемы

Обнаружение вредоносного ПО является ключевой задачей в области кибербезопасности. Традиционные методы в основном полагаются на один тип программного представления для анализа, используя либо статический анализ (например, граф вызовов функций), либо динамический анализ (например, граф взаимодействия процессов), но редко объединяют оба подхода.

Значимость исследования

1. Необходимость многоаспектного анализа: Программные системы обладают сложностью, и единственный аспект может упустить важную информацию
2. Устойчивость к противодействию: Зависимость от одного модального представления уязвима для противодействующих атак; мультимодальное слияние повышает устойчивость
3. Дополняющая информация: Статический FCG отражает структуру потока управления, динамический PCG отражает траектории выполнения; оба дополняют друг друга

Ограничения существующих методов

1. Единственное графическое представление: Большинство исследований используют только один из типов FCG или PCG
2. Неполная информация: Статический анализ не может отразить поведение во время выполнения, динамический анализ может упустить неисполняемые пути кода
3. Простые методы слияния: Существующие мультимодальные методы в основном используют простую конкатенацию, не имея механизма адаптивного взвешивания

Исследовательская мотивация

Данная работа направлена на построение более комплексной и надежной системы обнаружения вредоносного ПО путем совместного обучения представлениям вложений FCG и PCG, преодолевая ограничения единственного модального представления.

Основные вклады

1. Предложена архитектура GeminiNet: Разработана двухветвевая сверточная нейронная сеть на графах, обрабатывающая FCG и PCG отдельно и объединяющая вложения через механизм адаптивного затвора
2. Построен мультимодальный набор данных: Создан набор данных, содержащий 635 исполняемых файлов Windows с одновременным извлечением FCG и PCG
3. Разработаны совместные признаки узлов: Объединены локальное распределение степеней (LDP) и энтропия Шеннона, предоставляющие структурную и статистическую информацию
4. Проверена преимущество слияния: Обширные эксперименты подтверждают, что совместные вложения значительно превосходят модели с одним графом и методы простого объединения

Детальное описание методики

Определение задачи

Для исполняемого файла Windows требуется извлечь его граф вызовов функций G₁=(V₁,E₁) и граф вызовов процессов G₂=(V₂,E₂), обучить представление совместного вложения для двоичной классификации (вредоносное/безопасное).

Построение набора данных

Граф вызовов функций (FCG)

• Инструмент: Использована платформа обратного инжиниринга Ghidra
• Представление: Узлы представляют функции, направленные ребра представляют отношения вызовов функций
• Масштаб: 635 исполняемых файлов, всего 449 960 узлов и 1 048 741 ребро
• Предварительная обработка: Имена функций заменены числовыми идентификаторами

Граф взаимодействия процессов (PCG)

• Инструмент: Использована песочница вредоносного ПО Any.Run
• Время выполнения: 60 секунд (на основе исследования Küchler и др., 98% покрытие кода)
• Представление: Узлы представляют процессы, направленные ребра представляют межпроцессное взаимодействие или отношения создания
• Масштаб: 3 053 узла и 2 663 ребра

Разработка признаков узлов

Локальное распределение степеней (LDP)

Для каждого узла вычисляется пятимерный вектор признаков:

• Степень самого узла
• Минимальное, максимальное, среднее значение и стандартное отклонение степеней соседних узлов

Энтропия Шеннона

Вычисляется информационная энтропия на уровне файла: H(X) = -∑ᵢ pᵢ log₂ pᵢ

где pᵢ — вероятность байта i. Высокая энтропия указывает на высокую случайность (возможно вредоносное ПО), низкая энтропия указывает на высокую избыточность (возможно безопасное ПО).

Комбинированные признаки (LDP+Entropy)

Конкатенация LDP и энтропии Шеннона образует шестимерный вектор признаков, объединяющий локальную структуру и глобальную статистическую информацию.

Архитектура GeminiNet

Двухветвевой дизайн

Ветвь 1: FCG → GCN₁ → глобальная агрегация → g₁
Ветвь 2: PCG → GCN₂ → глобальная агрегация → g₂

Механизм адаптивного затвора

Введен обучаемый вектор затвора: α = softmax(w)

где w — обучаемые параметры. Итоговое совместное вложение: g = α₁g₁ + α₂g₂

с ограничениями α₁ + α₂ = 1 и αᵢ ≥ 0.

Слой классификации

Совместное вложение проходит через полносвязный слой и активацию ReLU: ŷ = softmax(MLP(g))

Технические инновационные моменты

1. Адаптивное взвешенное слияние: По сравнению со статической конкатенацией или усреднением, механизм затвора может адаптивно регулировать вклад каждого модального представления в зависимости от образца
2. Многогранулярные признаки: Объединение локальной топологии (LDP) и глобальной статистической информации (энтропия)
3. Сквозное обучение: Вся архитектура может обучаться сквозным образом, веса затвора автоматически оптимизируются
4. Гибкость архитектуры: Может деградировать в модель с одним графом путем отключения ветви

Экспериментальная установка

Набор данных

• Масштаб: 635 файлов Windows PE (318 вредоносных, 317 безопасных)
• Источник: Образцы вредоносного ПО и образцы безопасного ПО
• Разделение: 5-кратная перекрестная проверка

Метрики оценки

• Основная метрика: F1-оценка (баланс между точностью и полнотой)
• Статистические метрики: Среднее значение, стандартное отклонение, минимум, медиана, максимум

Методы сравнения

1. Модели с одним графом: Использование только FCG или PCG
2. Модель объединенного графа: Объединение списков ребер FCG и PCG в единый граф
3. Различные архитектуры GNN: GCN, SGC, GIN, GraphSAGE, MLP

Детали реализации

• Метод проверки: 5-кратная перекрестная проверка
• Расписание скорости обучения: OneCycleLR, ReduceLROnPlateau
• Регуляризация: Dropout
• Параметры архитектуры: 4-6 слоев GCN, 2-6 слоев полносвязных, 32-64 скрытые размерности

Результаты экспериментов

Основные результаты

Производительность оптимальной конфигурации

Согласно таблице 1, оптимальная конфигурация достигает:

• Средняя F1-оценка: 0,85 (стандартное отклонение 0,06-0,09)
• Максимальная F1-оценка: 0,94
• Оптимальные признаки: LDP+Entropy
• Оптимальная архитектура: SGC и GCN с взвешенным суммированием для слияния

Сравнение различных конфигураций

1. Совместное вложение (both_wsum): F1=0,85, медиана≈0,87
2. Модель с одним PCG: F1=0,81-0,83, медиана≈0,82
3. Объединенный граф (both_merged): F1=0,72-0,73, медиана≈0,72
4. Модель с одним FCG: F1=0,68-0,72, медиана≈0,67

Абляционные эксперименты

Абляция типа графа

Тест Крускала-Уоллиса (p=3,86×10⁻⁷⁶) показывает значительные различия между конфигурациями:

• both_wsum > single_pcg > both_merged > single_fcg
• Все попарные сравнения значимы (после коррекции Бонферрони)

Абляция типа признаков

Тест Крускала-Уоллиса (p=2,57×10⁻³³) показывает важность признаков:

• LDP+Entropy (медиана≈0,85) > LDP (≈0,82) > Entropy (≈0,77)
• Комбинированные признаки значительно превосходят единичные признаки

Анализ статистической значимости

Тест Данна подтверждает:

1. Взвешенное суммирование значительно превосходит метод объединения ребер
2. Использование PCG отдельно превосходит использование FCG отдельно
3. Совместные признаки значительно повышают производительность

Экспериментальные выводы

1. Дополняемость модальностей: FCG и PCG предоставляют дополняющую информацию, совместное использование дает лучший результат
2. Важность метода слияния: Адаптивное взвешенное суммирование превосходит простое объединение ребер
3. Эффект комбинации признаков: Комбинация структурных признаков (LDP) и статистических признаков (энтропия) создает синергетический эффект
4. Надежность архитектуры: Множество архитектур GNN могут извлечь выгоду из совместного дизайна вложений

Связанные работы

Обнаружение вредоносного ПО с одним графом

1. Методы FCG: Freitas & Dong, Chen и др. используют граф вызовов функций
2. Граф вызовов API: Gao и др., Hou и др. используют последовательности вызовов API
3. Граф потока управления: Peng и др., Yan и др. анализируют структуру потока управления
4. Граф сетевого потока: Busch и др. используют информацию о сетевом потоке

Применение графовых нейронных сетей

• Большинство работ сосредоточены на единственном графическом представлении
• Отсутствует систематическое исследование мультимодального слияния графов
• Данная работа заполняет пробел в совместном анализе статики и динамики

Мультимодальное обучение

Существующие методы в основном используют простую конкатенацию или усреднение, не имея механизма адаптивного взвешивания; затворное слияние в данной работе предоставляет более гибкое решение.

Выводы и обсуждение

Основные выводы

1. Преимущество совместных вложений: Совместное обучение FCG и PCG значительно превосходит единственное модальное представление
2. Важность механизма слияния: Механизм адаптивного затвора превосходит стратегии простого объединения
3. Ценность инженерии признаков: Комбинация структурных и статистических признаков повышает дискриминативную способность
4. Универсальность метода: Может быть расширен на обнаружение уязвимостей, обнаружение сходства бинарных файлов и другие задачи

Ограничения

1. Размер набора данных: 635 образцов относительно малы, что может повлиять на способность к обобщению
2. Ограничение времени выполнения: 60-секундное выполнение в песочнице может не захватить все вредоносное поведение
3. Инженерия признаков: Зависит от ручного проектирования признаков LDP и энтропии
4. Вычислительная сложность: Двухветвевая архитектура увеличивает вычислительные затраты

Будущие направления

1. Расширение масштаба: Проверка эффективности метода на больших наборах данных
2. Интерпретируемость: Разработка методов интерпретации для понимания процесса принятия решений моделью
3. Устойчивость к противодействию: Оценка устойчивости к противодействующим образцам
4. Автоматическое обучение признаков: Снижение зависимости от ручного проектирования признаков

Глубокая оценка

Преимущества

1. Высокая инновационность: Первое систематическое совместное использование FCG и PCG для обнаружения вредоносного ПО
2. Разумная методология: Двухветвевой дизайн архитектуры разумен, механизм затвора имеет теоретическую поддержку
3. Полные эксперименты: 5-кратная перекрестная проверка, сравнение множества архитектур, проверка статистической значимости
4. Убедительные результаты: Согласованные результаты указывают на эффективность и стабильность метода

Недостатки

1. Ограничения набора данных: Ограничено файлами Windows PE, относительно малый размер выборки
2. Недостаточное сравнение с базовыми методами: Отсутствует сравнение с последними методами обнаружения вредоносного ПО
3. Анализ вычислительных затрат: Не проведен подробный анализ вычислительной сложности двухветвевой архитектуры
4. Чувствительность гиперпараметров: Недостаточно проанализирована чувствительность механизма затвора к гиперпараметрам

Влияние

1. Академический вклад: Предоставляет новые идеи для применения мультимодального обучения на графах в области безопасности
2. Практическая ценность: Может быть непосредственно применен в системах обнаружения вредоносного ПО
3. Воспроизводимость: Методология описана четко, экспериментальная установка детальна
4. Расширяемость: Структура может быть расширена на другие задачи анализа программного обеспечения

Применимые сценарии

1. Обнаружение вредоносного ПО: Корпоративные продукты безопасности, антивирусное программное обеспечение
2. Анализ программного обеспечения: Обнаружение уязвимостей, анализ сходства кода
3. Исследовательская платформа: Тестовая платформа для мультимодального обучения на графах
4. Образовательное применение: Учебный случай применения графовых нейронных сетей в области безопасности

Список литературы

Статья цитирует 18 связанных работ, охватывающих:

• Основные методы обучения представлениям на графах
• Связанные работы по обнаружению вредоносного ПО
• Архитектуры графовых нейронных сетей (GCN, GIN, GraphSAGE, SGC)
• Инструменты и платформы анализа программного обеспечения

Ключевые цитируемые работы включают архитектуру GIN Xu и др., упрощенный метод SGC Wu и др., а также несколько связанных работ по обнаружению вредоносного ПО, предоставляющие прочную теоретическую основу и сравнительные эталоны для данной работы.