Способы и программные средства сравнения исполняемых файлов для их оперативной кластеризации

• Автор: Антонов, Алексей Евгеньевич
• Шифр специальности: 05.13.11
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Москва
• Количество страниц: 146 с. : ил.

ОГЛАВЛЕНИЕ
ОГЛАВЛЕНИЕ
ВВЕДЕНИЕ
Актуальность темы
Цели и задачи работы
Методы исследования
Обоснованность научных результатов
Достоверность основных результатов
Объект исследования
Предмет исследования
Научная новизна
Практическая значимость
Положения, выносимые на защиту
Внедрение результатов работы
Апробация работы
Публикации
Структура и объём работы
Краткое содержание работы
1 ОБЗОР СПОСОБОВ СРАВНЕНИЯ ИСПОЛНЯЕМЫХ
ФАЙЛОВ И ОЦЕНКИ ИХ КАЧЕСТВА
1Л Сравнение программ и исполняемых файлов
1Л Л Сравнение строк файла
1Л Л Л Получение и анализ строк
1Л Л .2 Сравнение файлов по их АРГфункциям
1ЛЛ.З Использование п-грамм и последовательности АРГфункций
1Л Л .4 Использование неупорядоченных высокоуровневых событий
1ЛЛ.5 Использование упорядоченных высокоуровневых событий

1.1.1.6 Сложности при сравнении файлов по АР1-функциям
1.1.2 Сравнение структуры файла
1.1.2.1 Контекстно-зависимая кусочная хеш функция
1.1.2.2 Сравнение статистических профилей
1.1.2.3 Анализ недостатков существующих способов сравнения файлов по их структуре
1.1.3 Другие способы сравнения исполняемых файлов
1.1.3.1 Анализ влияния выполнения файла на операционную систему
1.1.3.2 Сравнение статистических свойств кода
1.1.3.3 Сравнение сетевого трафика
1.2 Комбинация нескольких способов сравнения файлов
1.2.1 Голосование
1.2.2 Взвешенная комбинация
1.2.3 Комбинирование при помощи методов машинного обучения
1.2.4 Анализ недостатков существующих методов комбинирования результатов сравнения нескольких способов
1.3 Показатели качества сравнения
1.3.1 Понятие показателя качества сравнения файлов
1.3.2 Оценка качества сравнения
с использованием эталонного разбиения на классы
1.3.2.1 Индекс Ранда
1.3.2.2 Бикубическая мера
1.3.3 Оценка качества сравнения без использования разбиения на классы.
1.3.3.1 Графовый подход к оценке качества способов сравнения
1.3.4 Недостатки существующих показателей качества сравнения
1.4 Выводы по главе
2 РАЗРАБОТКА СПОСОБОВ СРАВНЕНИЯ
ИСПОЛНЯЕМЫХ ФАЙЛОВ И ИХ КОМБИНАЦИИ
2.1 Сравнение файлов с использованием строк
2.1.1 Исключение частых не информативных строк
2.1.2 Типизация строк
2.1.3 Алгоритм выделения значимых строк
2.1.4 Расчет степени сходства
2.2 Сравнение исполняемых файлов по АР1-функциям
2.2.1 Выявление используемых функций
2.2.2 Сравнение файлов по АР1 функциям
с учетом их информативности
2.3 Сравнение структуры файлов
2.3.1 Разработка алгоритма разбиения файла
2.3.2 Разработка способа сравнения файла
2.4 Способ комбинации результатов сравнения по нескольким признакам... .
2.4.1 Области компетенции различных способов сравнения файлов
2.4.2 Разработка способа комбинирования нескольких степеней сходства.
2.4.3 Параметрическая настройка комбинации алгоритмов
2.5 Оценка способов сравнения файлов
2.5.1 Оценка качества с использованием многосортного множества
2.5.2 Меры качества для сравнения файлов
2.6 Выводы по главе
3 РЕАЛИЗАЦИЯ СИСТЕМЫ СРАВНЕНИЯ
И КЛАССИФИКАЦИИ ИСПОЛНЯЕМЫХ ФАЙЛОВ
3.1 Выбор среды разработки
3.2 Реализация системы
3.2.1 АР1 монитор
3.2.2 Распаковщик
3.2.3 Препроцессор АР1 функций
3.2.4 Препроцессор строк
В качестве меры, представляющей степень сходства пары файлов, в работе [56] используется косинус угла между полученными векторами или Евклидово расстояние.
1.1.2.3 Анализ недостатков существующих способов сравнения файлов по их структуре
Сравнение файлов по структуре включает в себя представление этой структуры в виде блоков и их сравнение.
Рассмотрим недостатки существующих способов разбиения файлов на блоки:
1. Разбиение файла на одинаковое количество блоков,
В этом случае файлы описываются векторами одинаковой длины. Такое разбиение не устойчиво к модификациям файла, связанным с изменением размеров тех или иных частей файла, например, добавления данных или их удаления.
2. Разбиение файла на блоки равной длины [56].
В этом случае возникают следующие проблемы. Нелегко подобрать оптимальный размер для блока. Если размер блока велик, то файлы, размер которых сравним с размером блока, не будут правильно описаны. Если размер блока мал, то большие по размеру файлы будут разбиваться на значительное число блоков, и анализ такого количества блоков замедлит алгоритм сравнения. Еще одна проблема связана с тем, что если граница двух различных типов данных попадает на середину блока, то блок будет неоднородным и его статистические характеристики будут неадекватны.
3. Разбиение файла на блоки переменной длины.
Это наиболее гибкий вариант, но крайне важно подобрать правильный алгоритм для выбора границ блока. Определенные сложности представляет сравнения файлов, представленных векторами характеристик переменной длины: