در دنیای امروز، بدافزارها به یک تهدید جدی برای امنیت سایبری تبدیل شده‌اند. شناسایی و طبقه‌بندی سریع و دقیق بدافزارها، نقشی حیاتی در حفظ امنیت سیستم‌ها و شبکه‌ها ایفا می‌کند. مقاله حاضر، به بررسی و مقایسه‌ی سه روش نوین برای استخراج ویژگی و طبقه‌بندی بدافزارها می‌پردازد: Word2Vec، HMM2Vec و PCA2Vec. این روش‌ها، از تکنیک‌های پردازش زبان طبیعی (NLP) برای تحلیل توالی‌های کد بدافزارها بهره می‌برند و سعی دارند تا با استفاده از این رویکرد، دقت و کارایی سیستم‌های تشخیص بدافزار را بهبود بخشند.

این مقاله توسط آقایان Aniket Chandak، Wendy Lee و Mark Stamp به رشته تحریر درآمده است. نویسندگان این مقاله، متخصصان حوزه‌های رمزنگاری، امنیت سایبری و یادگیری ماشین هستند. تمرکز اصلی آن‌ها، بر روی استفاده از تکنیک‌های یادگیری ماشین برای حل مسائل امنیتی، به‌ویژه تشخیص و طبقه‌بندی بدافزارها است. این مقاله، در دسته‌بندی‌های رمزنگاری و امنیت و یادگیری ماشین قرار می‌گیرد.

چکیده مقاله به این صورت است: “تعبیه‌سازی کلمات اغلب در پردازش زبان طبیعی به عنوان ابزاری برای کمی‌سازی روابط بین کلمات استفاده می‌شود. به طور کلی، از همین تکنیک‌های تعبیه‌سازی کلمات می‌توان برای کمی‌سازی روابط بین ویژگی‌ها استفاده کرد. در این مقاله، ابتدا تکنیک‌های مختلف تعبیه‌سازی کلمات را در چارچوب طبقه‌بندی بدافزار بررسی می‌کنیم. ما از مدل‌های مخفی مارکوف برای بدست آوردن بردارهای تعبیه در رویکردی که به آن HMM2Vec اشاره می‌کنیم، استفاده می‌کنیم و بردارهای تعبیه را بر اساس تجزیه و تحلیل مولفه‌های اصلی تولید می‌کنیم. همچنین تکنیک محبوب تعبیه‌سازی کلمات مبتنی بر شبکه عصبی معروف به Word2Vec را در نظر می‌گیریم. در هر مورد، ما تعبیه‌سازی ویژگی‌ها را بر اساس توالی‌های اپکد برای نمونه‌های بدافزار از خانواده‌های مختلف استخراج می‌کنیم. ما نشان می‌دهیم که می‌توانیم دقت طبقه‌بندی بهتری را بر اساس این تعبیه‌سازی ویژگی‌ها در مقایسه با آزمایش‌های HMM که مستقیماً از توالی‌های اپکد استفاده می‌کنند، بدست آوریم و به عنوان یک خط مبنا عمل کنیم. این نتایج نشان می‌دهد که تعبیه‌سازی کلمات می‌تواند یک مرحله مهندسی ویژگی مفید در زمینه تجزیه و تحلیل بدافزار باشد.”

به طور خلاصه، مقاله حاضر به بررسی روش‌های مختلف تعبیه‌سازی کلمات (Word Embedding) به منظور استخراج ویژگی‌های مفید از کدهای بدافزار می‌پردازد. هدف اصلی، بهبود دقت طبقه‌بندی بدافزارها با استفاده از این ویژگی‌های استخراج شده است. در این راستا، سه روش Word2Vec، HMM2Vec و PCA2Vec مورد بررسی و مقایسه قرار می‌گیرند.

روش‌شناسی این تحقیق بر پایه‌ی استخراج ویژگی از کدهای بدافزار و سپس استفاده از این ویژگی‌ها برای آموزش مدل‌های طبقه‌بندی استوار است. مراحل کلیدی این تحقیق به شرح زیر است:

• جمع‌آوری داده‌ها: مجموعه‌ای از نمونه‌های بدافزار از خانواده‌های مختلف جمع‌آوری شده است. این نمونه‌ها به عنوان داده‌های ورودی برای الگوریتم‌های استخراج ویژگی استفاده می‌شوند.
• پیش‌پردازش داده‌ها: کدهای بدافزارها پیش‌پردازش می‌شوند تا توالی‌های اپکد (Opcode) استخراج شوند. اپکدها، دستورالعمل‌های سطح پایین هستند که توسط پردازنده اجرا می‌شوند و الگوهای موجود در آن‌ها می‌توانند اطلاعات مفیدی در مورد رفتار بدافزار ارائه دهند.
• تعبیه‌سازی ویژگی‌ها: از سه روش Word2Vec، HMM2Vec و PCA2Vec برای تبدیل توالی‌های اپکد به بردارهای عددی (تعبیه‌سازی) استفاده می‌شود. هر یک از این روش‌ها، رویکرد متفاوتی برای استخراج ویژگی‌ها دارند:
  • Word2Vec: یک مدل شبکه‌ی عصبی است که برای یادگیری نمایش برداری کلمات بر اساس متن استفاده می‌شود. در این مقاله، از Word2Vec برای یادگیری نمایش برداری اپکدها بر اساس توالی‌های موجود در کدهای بدافزار استفاده می‌شود. به عبارت دیگر، اپکدهایی که در کدهای بدافزار به طور مکرر با هم ظاهر می‌شوند، بردارهای نزدیک‌تری در فضای برداری خواهند داشت.
  • HMM2Vec: این روش، از مدل‌های مخفی مارکوف (Hidden Markov Models) برای یادگیری الگوهای موجود در توالی‌های اپکد استفاده می‌کند. سپس، از پارامترهای مدل مارکوف (احتمالات انتقال و انتشار) برای ایجاد بردارهای تعبیه‌سازی استفاده می‌شود.
  • PCA2Vec: این روش، از تجزیه و تحلیل مولفه‌های اصلی (Principal Component Analysis) برای کاهش ابعاد فضای ویژگی‌ها استفاده می‌کند. ابتدا، یک ماتریس از توالی‌های اپکد ایجاد می‌شود. سپس، PCA بر روی این ماتریس اعمال می‌شود تا مولفه‌های اصلی استخراج شوند. این مولفه‌ها، به عنوان ویژگی‌های جدید برای طبقه‌بندی بدافزار استفاده می‌شوند.
• طبقه‌بندی: بردارهای تعبیه‌سازی شده به عنوان ورودی به یک مدل طبقه‌بندی (مانند ماشین بردار پشتیبان یا SVM) داده می‌شوند. مدل طبقه‌بندی، بر اساس این ویژگی‌ها آموزش داده می‌شود تا بتواند بدافزارها را به خانواده‌های مختلف طبقه‌بندی کند.
• ارزیابی: عملکرد مدل‌های طبقه‌بندی با استفاده از معیارهای مختلفی مانند دقت (Accuracy)، صحت (Precision)، بازخوانی (Recall) و امتیاز F1 ارزیابی می‌شود.

نتایج این تحقیق نشان می‌دهد که استفاده از تکنیک‌های تعبیه‌سازی کلمات می‌تواند به بهبود دقت طبقه‌بندی بدافزارها کمک کند. به‌طور خاص، مشخص شد که روش‌های Word2Vec و HMM2Vec، عملکرد بهتری نسبت به روش PCA2Vec دارند. همچنین، نتایج نشان داد که استفاده از این روش‌ها، عملکرد بهتری نسبت به استفاده مستقیم از توالی‌های اپکد در مدل‌های HMM دارد.

یکی از یافته‌های مهم این تحقیق، این است که روش‌های تعبیه‌سازی کلمات می‌توانند الگوهای پیچیده‌ای را در کدهای بدافزار کشف کنند که با استفاده از روش‌های سنتی‌تر، شناسایی آن‌ها دشوار است. برای مثال، Word2Vec می‌تواند روابط بین اپکدهایی را شناسایی کند که در کدهای بدافزار به طور مکرر با هم ظاهر می‌شوند، حتی اگر این اپکدها از نظر معنایی ارتباط مستقیمی با هم نداشته باشند.

به‌طور خلاصه، یافته‌های کلیدی این تحقیق عبارتند از:

• تکنیک‌های تعبیه‌سازی کلمات می‌توانند دقت طبقه‌بندی بدافزارها را بهبود بخشند.
• روش‌های Word2Vec و HMM2Vec، عملکرد بهتری نسبت به روش PCA2Vec دارند.
• تعبیه‌سازی کلمات می‌تواند الگوهای پیچیده‌ای را در کدهای بدافزار کشف کند.

نتایج این تحقیق می‌تواند در زمینه‌های مختلفی کاربرد داشته باشد، از جمله:

• توسعه‌ی سیستم‌های تشخیص بدافزار پیشرفته: با استفاده از تکنیک‌های تعبیه‌سازی کلمات، می‌توان سیستم‌های تشخیص بدافزاری را توسعه داد که قادر به شناسایی بدافزارهای جدید و ناشناخته باشند.
• تحلیل بدافزار: این تکنیک‌ها می‌توانند به تحلیلگران بدافزار کمک کنند تا الگوهای پیچیده‌ای را در کدهای بدافزار کشف کنند و درک بهتری از رفتار بدافزارها پیدا کنند.
• توسعه‌ی پادبدافزارها: با استفاده از این روش‌ها، می‌توان پادبدافزارهایی را توسعه داد که قادر به شناسایی و حذف بدافزارهای پیشرفته باشند.

یکی از دستاوردهای مهم این تحقیق، ارائه یک رویکرد جدید برای استخراج ویژگی از کدهای بدافزار است. این رویکرد، مبتنی بر استفاده از تکنیک‌های پردازش زبان طبیعی است و می‌تواند به بهبود دقت و کارایی سیستم‌های تشخیص بدافزار کمک کند. این تحقیق همچنین، زمینه‌ساز تحقیقات آینده در این زمینه خواهد بود.

در مجموع، مقاله حاضر به بررسی و مقایسه‌ی سه روش نوین برای طبقه‌بندی بدافزارها می‌پردازد: Word2Vec، HMM2Vec و PCA2Vec. نتایج این تحقیق نشان می‌دهد که استفاده از تکنیک‌های تعبیه‌سازی کلمات می‌تواند به بهبود دقت طبقه‌بندی بدافزارها کمک کند. این یافته‌ها، می‌توانند در توسعه‌ی سیستم‌های تشخیص بدافزار پیشرفته و تحلیل بدافزارها مورد استفاده قرار گیرند.

این تحقیق، گامی مهم در جهت بهبود امنیت سایبری است و نشان می‌دهد که تکنیک‌های پردازش زبان طبیعی می‌توانند در حل مسائل امنیتی نیز کاربرد داشته باشند. با توجه به رشد روزافزون تهدیدات سایبری، تحقیقات بیشتر در این زمینه، از اهمیت بالایی برخوردار است.