Perpustakaan Digital ITB

Malware tercatat sebagai salah satu trafik anomali terbesar di Indonesia sepanjang 2024 dengan serangan terhadap PDNS sebagai contoh dampaknya. Deteksi berbasis jaringan melemah ketika malware berkomunikasi melalui saluran terenkripsi, sehingga deteksi berbasis host melalui Sysmon event log menjadi alternatif. Penelitian terdahulu menyeleksi fitur Sysmon pada level event dan belum mengujinya pada level proses. Perbandingan langsung antara model tree-based dan deep learning pada level proses juga belum tersedia, begitu pula acuan lebar interval waktu untuk membentuk sekuens. Penelitian ini merangkai event menjadi sekuens per ProcessGuid, kemudian melatih empat model tree-based dan tiga model berbasis RNN pada interval 1, 2, 5, dan 10 menit, serta sekuens penuh. Sekuens diratakan menjadi vektor berdimensi tetap agar dapat diproses model tree-based. Fitur level event belum terbukti efektif pada level proses karena tidak ada satu skenario pun yang seluruh modelnya mencapai threshold F1 0,78. Model tree-based mengungguli deep learning dengan F1 tertinggi 0,8860 pada XGBoost interval 5 menit, sekaligus 74 sampai 114 kali lebih cepat. Lebar interval hanya berpengaruh kecil dengan rata-rata F1 tiap skenario bergerak pada rentang 0,7963 hingga 0,8208 dan sekuens penuh justru menghasilkan nilai terendah.