Perpustakaan Digital ITB

Fileless malware merupakan ancaman yang perlu diperhatikan karena kemampuannya yang dapat berjalan tanpa meninggalkan jejak pada disk yang menyulitkan untuk dideteksi menggunakan cara statis. Oleh karena itu, penelitian ini mengusulkan pendekatan behavioural dengan pemodelan graf berbasis log Event Tracing for Windows (ETW) untuk mendeteksi fileless malware yang memanfaatkan living of the land dengan Powershell sebagai legitimate tool yang mendeteksi setelah sampel telah tereksekusi secara penuh. Solusi yang diajukan memodelkan perilaku eksekusi sistem menjadi sebuah directed multigraph. Melakukan penyaringan event yang relevan, penyaringan edge yang memiliki arah, serta penyaringan edge menjadi 10 event yang memiliki nilai daya pisah (separability) teratas beserta satu event yang bersinergi. Ekstraksi fitur struktur topologi dari graf dilakukan menggunakan algoritma Weisfeiler-Lehman (WL) , yang kemudian di-scaling menggunakan metode Term Frequency-Inverse Document Frequency (TF-IDF) untuk normalisasi bobot nilai kelangkaan topologi. Evaluasi kinerja sistem dilakukan terhadap 315 sampel malicious dan 630 sampel benign dengan membandingkan antara algoritma machine learning berbasis decision tree (XGBoost dan Random Forest dan model linear atau berbasis probabilitas (SVM, Naive Bayes,Logistic Regression). Hasil evaluasi menunjukkan bahwa model berbasis tree mencapai kinerja optimal pada iterasi yang rendah karena matriks yang dihasilkan padat, sedangkan model linear baru optimal pada iterasi tinggi karena membutuhkan abstraksi yang lebih tinggi pada data agar dapat dipisahkan secara linear. Secara keseluruhan, algoritma XGBoost terbukti sebagai model pengklasifikasi yang paling efektif dengan pencapaian nilai F1-Score sebesar 0,9420 ± 0,0157. Model tersebut kemudian diuji secara offline dengan nilai f1 sebesar 0,9206 dan online dengan nilai f1 sebesar 0,9355.