Новая функция детектирования в SIEM-системе KUMA

Хакеры модифицировали способы вторжения, запуская вредоносные программы под видом легитимных и популярных приложений, без которых бизнесу сложно обойтись. Злоумышленники стали использовать код DLL-библиотеки, заменяя его на вредоносный аналог. Защитные системы не сразу распознают угрозу. Но специалисты «Лаборатории Касперского» решили эту задачу. Они разработали модель машинного обучения, которая быстро выявляет и устраняет угрозу DLL Hijacking, то есть, не позволяет подменять лицензионные библиотеки вредоносными кодами. Такая технология детектирования новых угроз уже внедрена в SIEM-систему KUMA.

Как работает технология детектирования DLL Hijacking

Новая модель машинного обучения отлично проявляет себя в операционной системе Windows. Неизвестный файл сразу привлекает внимание модуля DLL Hijacking. Запускается процесс распознания техники замены легитимной библиотеки подменным вирусным кодом. Библиотека выглядит как действующее приложение, вокруг которого возникает стандартная пользовательская активность. На самом деле вредоносный код запущен и постепенно внедряется. Чтобы выявить этот процесс, требуется дополнительная система машинного обучения, которая взаимодействует с ИИ. Искусственный интеллект изначально внедрен разработчиками в SIEM-систему KUMA.

Как проходило обучение ML-модели для детектирования

ML-модель с помощью технологии машинного обучения учили выявлять угрозы DLL Hijacking сначала по прямой, затем по косвенной информации о библиотеке DLL. Технология машинного обучения постепенно сформировала признаки, по которым становится понятно, что производятся подозрительные манипуляции с библиотекой. Находится ли файл в стандартной версии, был ли он переименован, изменялись ли размеры и структура самой библиотеки. Эксперименты проводились с несколькими поколениями ML-моделей, чтобы получить обучающую выборку, по которой легко и быстро можно обнаружить вредоносный код в библиотеке.

Как происходит детектирование в KUMA

После достижения результатов с ML-моделью в детектировании DLL Hijacking, она была внедрена в SIEM-систему KUMA. Здесь уже программное обеспечение с помощью ИИ проверяет метаданные DLL-библиотек и выявляется угрозу, сравнивает данные с облаком вендора KSN. Таким образом, количество ложных срабатываний равняется нулю.

ML-модель, установленная в системе корреляции, проверяет данные, на которые сработало правило корреляции. Это позволяет быстро создать аллерт на возникшую угрозу. Отклик проходит только на правило корреляции, минуя все запросы в облако, чтобы не снижать работоспособность системы.

Установленная модель детектирования в подсистеме событий обрабатывает все события в библиотеке. Потребуется трата ресурсов, но защита сработает лучше и оперативнее. При обновлении алгоритмов в SIEM-системы KUMA точность срабатываний систем защиты будет улучшаться.