ترجمه فارسی مقاله تشخیص مبهم‌سازی خط فرمان با استفاده از مدل‌های زبان کوچک

چکیده

To avoid detection, adversaries often use command-line obfuscation. There are numerous techniques of the command-line obfuscation, all designed to alter the command-line syntax without affecting its original functionality. This variability forces most security solutions to create an exhaustive enumeration of signatures for even a single pattern. In contrast to using signatures, we have implemented a scalable NLP-based detection method that leverages a custom-trained, small transformer language model that can be applied to any source of execution logs. The evaluation on top of real-world telemetry demonstrates that our approach yields high-precision detections even on high-volume telemetry from a diverse set of environments spanning from universities and businesses to healthcare or finance. The practical value is demonstrated in a case study of real-world samples detected by our model. We show the model’s superiority to signatures on established malware known to employ obfuscation and showcase previously unseen obfuscated samples detected by our model.

چکیده به فارسی (ترجمه ماشینی)

برای جلوگیری از تشخیص ، مخالفان غالباً از دفع خط فرمان استفاده می کنند.تکنیک های بی شماری از انسداد خط فرمان وجود دارد که همه برای تغییر نحو خط فرمان بدون تأثیرگذاری بر عملکرد اصلی آن طراحی شده اند.این تنوع بیشتر راه حل های امنیتی را برای ایجاد یک شمارش جامع از امضاها برای حتی یک الگوی واحد مجبور می کند.برخلاف استفاده از امضاها ، ما یک روش تشخیص مقیاس پذیر مبتنی بر NLP را اجرا کرده ایم که از یک مدل زبان ترانسفورماتور کوچک آموزش دیده و با آموزش استفاده می کند که می تواند برای هر منبع اعدام اعمال شود.ارزیابی در بالای تله متری در دنیای واقعی نشان می دهد که رویکرد ما حتی در تله متری با حجم بالا از مجموعه متنوعی از محیط هایی که از دانشگاه ها و مشاغل گرفته تا مراقبت های بهداشتی و یا امور مالی قرار دارند ، تشخیص های با دقت بالا را به دست می آورد.مقدار عملی در یک مطالعه موردی از نمونه های دنیای واقعی شناسایی شده توسط مدل ما نشان داده شده است.ما برتری مدل را نسبت به امضاهای موجود در بدافزار ایجاد شده نشان می دهیم که برای استفاده از انسداد و ویترین نمونه های مبهم که قبلاً دیده نشده اند ، توسط مدل ما شناسایی شده اند.