特权信息下的检测

四分之一个多世纪以来，检测系统一直由从真实或模拟环境中收集的输入特征学习的模型驱动。一个工件（例如，网络事件、潜在的恶意软件样本、可疑电子邮件）在运行时根据其与学习模型的相似性被判定为恶意或非恶意。然而，模型训练历史上仅限于运行时可用的那些特征。在本文中，我们考虑一种替代学习方法，该方法使用“特权”信息——在训练时可用但运行时不可用的特征——来训练模型，以提高检测系统的准确性和鲁棒性。特别地，我们调整并扩展了知识迁移、模型影响和蒸馏方面的最新进展，以便在一组安全领域中利用取证或其他运行时不可用的数据。经验评估表明，与无特权信息的系统相比，特权信息提高了精确率和召回率：我们观察到快速通量僵尸检测的检测错误相对降低达7.7%，恶意软件流量检测达8.6%，恶意软件分类达7.3%，人脸识别达16.9%。我们探讨了不同特权信息技术在检测系统中的局限性和应用。此类技术为检测系统提供了一种新手段，使其能够从否则在运行时不可用的数据中学习。