Microsoft Defender menggunakan ML.NET untuk menghentikan malware

Perlindungan Terhadap Ancaman Tingkat Lanjut (ATP) Microsoft Defender adalah platform keamanan terpadu Microsoft untuk perlindungan pencegahan cerdas, deteksi pascapelanggaran, penyelidikan otomatis, dan respons; itu melindungi titik akhir dari ancaman dunia maya, mendeteksi serangan tingkat lanjut dan pelanggaran data, mengotomatiskan insiden keamanan, dan meningkatkan postur keamanan menggunakan kombinasi kekuatan cloud, analitik perilaku, dan pembelajaran mesin.

Masalah bisnis

ATP Pertahanan Microsoft memproses triliunan sinyal setiap hari dan menemukan sekitar 5 miliar ancaman baru setiap bulan. Ancaman ini berkisar dari PDF yang mencoba mengelabui kredensial pengguna dan file dokumen yang berisi makro yang dipersenjatai hingga file zip yang dilindungi kata sandi berisi malware polimorfik yang dapat dijalankan.

Mampu memprediksi dan menghentikan ancaman ini pada pandangan pertama sangatlah penting bagi keamanan dan keselamatan klien. Namun, manusia hanya dapat melihat dan menyimpan informasi dalam jumlah terbatas dalam pikiran mereka sekaligus. Menelusuri setiap atribut ini secara manual merupakan tugas yang memakan banyak waktu dan tidak cukup cepat untuk mempertahankan dari ancaman yang masuk. Dengan skala ancaman baru yang terlihat setiap bulan, proses manual yang dilakukan oleh manusia tidak akan pernah dapat diskalakan, membuat pembelajaran mesin tidak hanya baik untuk dimiliki, tetapi diperlukan untuk melindungi pengguna. Selain itu, seseorang mungkin melihat sebagian malware dan menemukan beberapa atribut yang membuatnya berbahaya, tetapi pada kenyataannya, malware mungkin memiliki ratusan ribu atribut lain yang menunjukkan ancaman bahwa manusia tidak dapat meluangkan waktu untuk mencari tahu.

Mesin, di sisi lain, memiliki kapasitas yang jauh lebih besar dan waktu respons yang jauh lebih cepat; mesin dapat secara instan melihat semua (mungkin ratusan ribu) atribut potensi ancaman dan memilih semua atribut yang melabeli ancaman tersebut sebagai malware. Kemudian mesin dapat menggunakan atribut yang ditemukannya untuk menemukan malware baru yang mungkin tidak diprediksi oleh manusia hanya dengan menggunakan sejumlah kecil atribut.

Dengan demikian, ATP Microsoft Defender memutuskan untuk menggunakan pembelajaran mesin dan ML.NET (secara teknis menggunakan turunan ML.NET yang disebut TLC, yang telah menjadi kerangka kerja pembelajaran mesin internal yang digunakan di Microsoft selama lebih dari 10 tahun), untuk meningkatkan perlindungan real time terhadap malware sehingga mereka dapat memprediksi dengan lebih mudah dan akurat jika sinyal berbahaya dan memblokir ancaman masuk untuk menjaga komputer pengguna mereka tetap aman.

Dampak ML.NET

Microsoft Defender ATP menggunakan algoritma klasifikasi untuk menandai dan memunculkan ancaman, termasuk ancaman yang sebelumnya tidak terlihat, yang akan tetap tidak diperhatikan di antara miliaran acara normal dan ketidakmampuan sensor generasi pertama untuk bereaksi terhadap rangsangan yang tidak dikenal dan kurang terlihat. Model Microsoft Defender ATP mengoptimalkan penggunaan sejumlah besar data dan sumber daya komputasi yang tersedia untuk Microsoft Defender ATP. Selain itu, berdasarkan analisis peringatan aktual Microsoft Defender ATP, teknologi pembelajaran mesin yang digunakan setidaknya 20% lebih akurat daripada heuristik yang dibuat secara manual. Algoritme pembelajaran mesin yang diawasi ML.NET menghentikan 35% ancaman pada tingkat pra-pelanggaran, yang melindungi dari perangkat lunak jahat dari URL jahat, lampiran email, dan ancaman lain yang muncul.

Arsitektur solusi

Pemrosesan data dan pemilihan fitur

Untuk ATP Microsoft Defender, sangatlah penting untuk memiliki sekumpulan data pelatihan berlabel yang mencakup data bersih dan malware dalam himpunan data pelatihan sehingga dapat meniru skenario kehidupan nyata dan menunjukkan apa yang dilihat pelanggan sebenarnya setiap hari. Pada siklus pelatihan rata-rata, model di ATP Pertahanan Microsoft dapat menggunakan ~100 juta baris data dengan masing-masing 190 ribu fitur.

Pemilihan fitur sangat penting saat melatih model yang mendeteksi malware. Ada dua jenis fitur yang dicari oleh para peneliti dan mesin: properti file statis dan komponen perilaku. Properti file statis mencakup hal-hal seperti apakah file ditandatangani atau tidak, siapa yang menandatangani file, dan berbagai fuzzy hash. Atribut perilaku mencakup hal-hal seperti apakah file terkait dengan file lain, apakah file ini disuntikkan dari file lain, IP apa yang terhubung dengan file tersebut, dan perubahan apa yang dibuat file pada sistem. Himpunan data pelatihan dapat mencakup ribuan hingga jutaan fitur.

Pelatihan model

ATP Pertahanan Microsoft memiliki berbagai model untuk melayani beberapa tujuan. Misalnya, mereka memiliki model yang berfokus pada ancaman PE, ancaman makro, dan serangan berbasis skrip terlebih dahulu. Ada juga model yang difokuskan pada data yang mendasar; misalnya, beberapa model melatih secara eksklusif pada hash file fuzzy. Selain itu, mereka memiliki lapisan model ansambel lain yang mengambil sinyal dari penggolong individu ini untuk memeriksa sekali lagi apakah aktivitas sistem berbahaya.

ATP Pertahanan Microsoft melatih model ini setiap hari pada data terbaru. Setelah dilatih, model disimpan, dan alur rekayasa memuatnya ke infrastruktur cloud pertahanan tempat model dikueri oleh klien.

Keragaman [model] adalah kunci untuk memiliki sistem pembelajaran mesin yang tangguh."

Menggunakan algoritma ML.NET, Microsoft Defender ATP telah mampu menghasilkan banyak model pembelajaran mesin untuk melindungi penggunanya dari potensi ancaman secara lebih efektif, menjaga setengah miliar komputer orang tetap aman dari malware.