Please enable JavaScript.

Coggle requires JavaScript to display documents.

Вредоносные программы: классификация, методы обнаружения - Coggle Diagram

- - - - Определение: программы, которые прикрепляются к другим программам и размножаются
    - - Определение: самостоятельные программы, распространяющиеся по сетям
    - - Определение: программы, маскирующиеся под легитимное ПО
  - - - Определение: программы для тайного сбора информации
    - - Определение: показ нежелательной рекламы
    - - Определение: программы для скрытия присутствия других вредоносных программ
  - - - Определение: программы, шифрующие данные и требующие выкуп
    - - Определение: сети зараженных компьютеров, управляемых злоумышленником
    - - Определение: использование ресурсов компьютера для майнинга криптовалют
- - - - Сравнение с базой известных сигнатур (уникальных идентификаторов)
      - Использование хешей MD5, SHA-1, SHA-256 для идентификации файлов
    - - Высокая точность обнаружения известных угроз
      - Низкое количество ложных срабатываний
      - Высокая производительность
    - - Не обнаруживает новые (zero-day) угрозы
      - Необходимость постоянного обновления баз
      - Уязвимость к обфускации и полиморфизму
    - - Файловые сигнатуры: уникальные последовательности байтов
      - Сетевые сигнатуры: характерные шаблоны сетевого трафика
      - Поведенческие сигнатуры: характерные последовательности действий
  - - - Анализ поведения и характеристик программы
      - Использование правил и алгоритмов для выявления подозрительного поведения
    - - Статический эвристический анализ:
        
        Анализ структуры исполняемого файла
        
        Поиск подозрительных строк и функций
        
        Анализ импортируемых библиотек
      - Динамический эвристический анализ:
        
        Запуск программы в изолированной среде (песочнице)
        
        Мониторинг системных вызовов
        
        Анализ изменений в системе
    - - Обнаружение новых и неизвестных угроз
      - Эффективность против полиморфных вирусов
    - - Более высокий процент ложных срабатываний
      - Более высокая нагрузка на систему
      - Сложность настройки и калибровки
  - - - Мониторинг поведения программ в реальном времени
      - Обнаружение подозрительных действий и аномалий
    - - Мониторинг системных вызовов: отслеживание вызовов API
      - Контроль целостности файлов: обнаружение несанкционированных изменений
      - Анализ сетевой активности: выявление подозрительных соединений
      - Контроль доступа: мониторинг попыток несанкционированного доступа
    - - Частота и последовательность системных вызовов
      - Паттерны доступа к файлам и реестру
      - Характер сетевых соединений
      - Использование системных ресурсов
- - - - Классификация: определение принадлежности к вредоносному ПО
      - Кластеризация: группировка похожих образцов
      - Аномалия детекшн: выявление отклонений от нормального поведения
    - - Деревья решений и случайные леса
      - Метод опорных векторов (SVM)
      - Нейронные сети:
        
        Сверточные нейросети (CNN) для анализа изображений бинарных файлов
        
        Рекуррентные нейросети (RNN) для анализа последовательностей действий
        
        Графовые нейросети для анализа взаимосвязей в системе
  - - - Запуск подозрительных файлов в изолированной виртуальной среде
      - Мониторинг всех действий программы
      - Анализ собранных данных для принятия решения
    - - Безопасность для основной системы
      - Возможность детального анализа поведения
      - Обнаружение сложных угроз
    - - Высокая ресурсоемкость
      - Ограниченное время анализа
      - Обход песочницы продвинутыми угрозами
  - - - Использование легитимных инструментов системы (PowerShell, WMI, macros)
      - Работа только в оперативной памяти
      - Отсутствие файлов на диске для анализа
    - - Мониторинг процессов в памяти: анализ запущенных процессов
      - Аудит использования системных инструментов: отслеживание PowerShell, WMI
      - Контроль целостности системных компонентов: обнаружение изменений
- - - - On-access scanner: проверка файлов при доступе к ним
      - On-demand scanner: проверка по запросу пользователя
      - Периодическое сканирование: автоматическая проверка по расписанию
    - - Файловые мониторы: отслеживание операций с файлами
      - Сетевые мониторы: анализ сетевого трафика
      - Поведенческие мониторы: контроль активности процессов
    - - Статические анализаторы: анализ без запуска
      - Динамические анализаторы: анализ в контролируемой среде
  - - - Быстрое обновление: мгновенное распространение новых сигнатур
      - Коллективный интеллект: использование данных от всех пользователей
      - Снижение нагрузки: перенос анализа в облако
    - - Клиентская часть: легкий агент на устройстве
      - Облачная часть: мощные серверы для анализа
      - Базы данных угроз: централизованное хранение информации