gmh5225/ransmap-ransomware-binary-classificationJupyter-Notebook zur Analyse des RanSMAP-Datensatzes, um Ransomware-Familien anhand von Speicherzugriffsmustern (GPA, Entropie, Seitentyp) mit scikit-learn-Ensemble-Modellen zu klassifizieren.
Autor: Kevin Thomas
[1] M. Hirano und R. Kobayashi, "RanSMAP: Open Dataset of Ransomware Storage and Memory Access Patterns for Creating Deep Learning Based Ransomware Detectors." Computers & Security, 2024, 104202, ISSN 0167-4048, https://doi.org/10.1016/j.cose.2024.104202.
[2] M. Hirano und R. Kobayashi, "Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor" In proceedings of 2022 IEEE International Conference on Cyber Security and Resilience (CSR), 2022, pp. 323-330, https://doi.org/10.1109/CSR54599.2022.9850340.
Creative Commons Attribution-NoDerivatives 4.0 International (CC BY-ND 4.0).
Diese umfassende Analyse des RanSMAP-Datensatzes mit Ransomware-Verhaltensmerkmalen zeigt die Wirksamkeit der Analyse von Speicherzugriffsmustern zur Unterscheidung zwischen schädlicher und gutartiger Software mithilfe von Machine-Learning-Techniken. Die Studie untersuchte 1.425.904 Speicheroperationen aus 12 Kategorien (6 gutartige Anwendungen und 6 Ransomware-Familien) anhand von vier Schlüsselmerkmalen: Guest Physical Address (GPA), Entropie, Größe des Speicherinhalts und Seitentyp.
Der Datensatz weist charakteristische Speicherzugriffsmuster auf, die Ransomware von legitimer Software unterscheiden. Die Speicheroperationen sind überwiegend metadatenfokussiert (99,7 % betreffen das Abrufen von Inhalten mit null Bytes) mit stark konzentrierten Adressverteilungen über 9.673 eindeutige GPA-Werte. Die Entropie zeigt eine auffällige bimodale Verteilung, wobei 51,0 % der Operationen genau 0,0 Entropie aufweisen (strukturierte Daten) und 48,7 % -1,0 Entropie (normalisierte Inhalte). Die Speicherseitenarchitektur wird überwiegend von Standardseiten mit 4 KiB (99,3 %) gegenüber großen Seiten mit 2 MiB (0,7 %) dominiert, was typischen Speicherverwaltungsmustern von Betriebssystemen entspricht.
Die Analyse identifizierte mehrere unterscheidungskräftige Verhaltensmuster, die Malware-Familien von gutartigen Anwendungen unterscheiden:
Speicherzuweisungsstrategien: Ransomware-Familien weisen erhöhte GPA-Werte (Mittelwert ~7,6 × 10^9) für Inhaltsoperationen im Vergleich zu Metadatenoperationen (Mittelwert ~2,75 × 10^9) auf, was auf eine systematische Speicherzuweisung in höheren Adressbereichen während schädlicher Aktivitäten hindeutet. Große Seiten (2 MiB) zeigen konzentrierte Zuweisungsmuster mit erhöhten Entropie-Eigenschaften, was auf eine spezialisierte Nutzung für leistungskritische Verschlüsselungsoperationen hindeutet.
Muster der Inhaltszufälligkeit: Malware-Kategorien zeigen ausgeprägte Entropiesignaturen, wobei tatsächliche Datenübertragungsoperationen (4096 Bytes) eine deutlich höhere Entropie (Mittelwert ~0,7) im Vergleich zu Metadatenoperationen (Mittelwert ~-0,5) aufweisen. Diese Erhöhung spiegelt die Erzeugung verschlüsselter Inhalte wider, die für Ransomware-Verschlüsselungsprozesse charakteristisch ist.
Kategoriespezifische Signaturen: Unüberwachtes K-Means-Clustering identifizierte erfolgreich vier unterschiedliche Verhaltenscluster, wobei Cluster 3 seltene, aber hochgradig unterscheidungskräftige Speicherzugriffsmuster repräsentiert, die in bestimmten Ransomware-Familien (WannaCry, LockBit, Conti) konzentriert sind. Diese Cluster erfassen spezialisierte Betriebssignaturen, die als malwarespezifische Verhaltensfingerabdrücke dienen könnten.
Mehrere Ensemble-Lernansätze wurden für die Ransomware-Erkennung evaluiert, mit ähnlicher Leistung über verschiedene Algorithmen hinweg:
Die Ensemble-Methoden (Random Forest: 0,639 Genauigkeit, AdaBoost: 0,639 Genauigkeit, Stacking: 0,639 Genauigkeit) zeigten eine konsistente Leistung mit minimaler Verbesserung gegenüber einzelnen Entscheidungsbäumen (0,638 Genauigkeit). Der Bagging-Ansatz mit Entscheidungsbäumen erreichte eine Genauigkeit von 0,639 mit hohem Recall (0,994), aber geringerer Präzision (0,637), was auf Herausforderungen bei der Unterscheidung zwischen bösartigen und gutartigen Speicherzugriffsmustern hinweist, die ein ausgefeilteres Feature-Engineering erfordern.
Für Cybersicherheitspraktiker: Setzen Sie speicherbasierte Ransomware-Erkennungssysteme ein, die die identifizierten Verhaltensmuster nutzen. Konzentrieren Sie sich auf die Überwachung großer Seitenoperationen und Übertragungen von Inhalten mit hoher Entropie in erhöhten Speicherbereichen als primäre Indikatoren für bösartige Aktivitäten.
Für die Forschungsgemeinschaft: Erweitern Sie die zeitliche Analyse, um die Entwicklungsmuster von Ransomware zu erfassen, und untersuchen Sie die plattformübergreifende Anwendbarkeit dieser Speicherzugriffssignaturen. Die nachgewiesene Wirksamkeit des unüberwachten Clustering legt das Potenzial für die Erkennung von Zero-Day-Ransomware durch die Identifizierung von Verhaltensanomalien nahe.
Für Systemadministratoren: Implementieren Sie eine Echtzeitüberwachung der Speicherseitenzuweisungsmuster und Entropieeigenschaften, wobei der Schwerpunkt insbesondere auf den durch die Hauptkomponentenanalyse identifizierten diskriminativen Merkmalen liegt. Die Klassifizierungsgenauigkeit von 63,9 % deutet darauf hin, dass zusätzliches Feature-Engineering oder hybride Ansätze für den Produktiveinsatz in Unternehmensumgebungen erforderlich sein könnten.
Diese Analyse etabliert die Analyse von Speicherzugriffsmustern als Grundlage für die Ransomware-Erkennung und erreicht eine Genauigkeit von 63,9 % durch Ensemble-Lerntechniken mit bemerkenswert hohem Recall (99,4 %) bei der Identifizierung bösartiger Aktivitäten. Während die aktuelle Klassifizierungsleistung Verbesserungspotenzial aufzeigt, liefert die Identifizierung spezifischer Verhaltenscluster und Entropie-GPA-Beziehungsmuster wertvolle Erkenntnisse für die Entwicklung verbesserter Cybersicherheitsabwehrmaßnahmen. Die umfassende Merkmalsanalyse zeigt, dass Speicherverwaltungsverhalten diskriminative Informationen enthält, um zwischen bösartigen Verschlüsselungsaktivitäten und legitimen Softwareoperationen zu unterscheiden, obwohl zusätzliches Feature-Engineering und Modelloptimierung erforderlich sein werden, um produktionsreife Leistung für unternehmensweite Ransomware-Erkennungssysteme zu erreichen.
GPA: Gastphysikalische Adresse einer zugegriffenen Speicherseitesize: Größe des abgerufenen Speicherinhalts auf der zugegriffenen Seite, [Byte]entropy: Normalisierte Shannon-Entropie eines geschriebenen Speicherinhaltstype: Zugriffstyp der Speicherseite (4-KiB-Seite, 2-MiB-Seite, 1-GiB-Seite und MMIO-Zugriff)category: Klassifizierungslabel für Ransomware- oder gutartige Familien, abgeleitet aus der Verzeichnisstruktur (AESCrypt, Conti, Darkside, Firefox, Idle, LockBit, Office, REvil, Ryuk, SDelete, WannaCry, Zip)