COUGAR: Clustering Of Unknown malware using Genetic Algorithm Routines - Slides
- 1. DAVIDE PANARELLA RELATORE: PROF. ANDREA DE LORENZO Summary of “COUGAR: Clustering Of Unknown malware using Genetic Algorithm Routines” Zachary Wilkins and Nur Zincir-Heywood. 2020. COUGAR: Clustering Of Unknown malware using Genetic Algorithm Routines. In Genetic and Evolutionary Computation Conference (GECCO ’20), July 8–12, 2020, Cancún, Mexico. ACM, New York, NY, USA, 9 pages. https://doi.org/10.1145/3377930.3390151 Laurea Triennale in Ingegneria Elettronica ed Informatica
- 2. INTRODUZIONE ❏ Enorme mole di malware in circolazione ❏ Impatto economico e sociale ❏ Molteplici modi per mascherarli ❏ Tecniche d’attacco limitate ❏ Importanza del Clustering ❏ Sistema COUGAR come supporto per gli analisti
- 3. METODOLOGIA Considerazioni: ❏ Clustering in base alla pericolosità ❏ Analisi comportamentale basata sulle librerie/funzioni ❏ Utilizzo del Dataset EMBER Contributo articolo Calcolo evoluzionistico per l’ottimizzazione dei cluster
- 4. FUNZIONAMENTO ❏ Elaborazione informazioni del Dataset ❏ Vettorizzazione dati ❏ Riduzione dimensioni della tabella ❏ Clustering ❏ DBSCAN ❏ OPTICS ❏ K-Means
- 5. DBSCAN & OPTICS Algoritmi di clustering basati sulla densità dei dati
- 7. PARAMETRI DI INGRESSO Scelti in base alle caratteristiche ricercate nei raggruppamenti ❏ Massimizzare il numero di cluster di qualità ❏ Minimizzare somma degli errori (sum squared error) ❏ Massimizzare la mediana delle dimensioni Non-dominated Sorting Genetic Algorithm III
- 8. NSGA-III
- 9. ANALISI DEI RISULTATI Performance medie della funzione di fitness
- 10. SCENARIO REALE ❏ Ingente flusso di campioni in una giornata ❏ COUGAR identifica tre agglomerati sospetti: ❏ 61 casi di Installmonster ❏ 20 di High ❏ 13 di Wannacry
- 11. SCENARIO REALE Previsioni di COUGAR visualizzate dall’analista
- 12. CONCLUSIONI ❏ Efficace applicazione di algoritmi genetici per la scelta dei parametri d’ingresso delle procedure di clustering ❏ Valori della fase di allenamento e di test molto vicini ❏ Possibile futuro utilizzo di procedure fuzzy per un clustering più efficiente
- 13. Grazie per l’attenzione DAVIDE PANARELLA