Saya lagi baca paper menarik tentang beberapa teknik pendeteksi malware. Paper ini ditulis oleh Idika dan Mathur dari Purdue University. Secara umum mereka mengklasifikasikan cara untuk mendeteksi malware menjadi 2 macam yaitu signature based dan anomaly based. Kemudian pada anomaly based ada pula bagian yang disebut teknik deteksi spesification-based. Masing-masing teknik tadi dibagi lagi menjadi teknik analisa statik, dinamis dan hybrid.

Anomaly based

Teknik pertama adalah deteksi malware berbasis Anomaly based Detection. Dengan cara ini dibuat dulu kondisi sebuah sistem yang bersih tanpa malware (training period), kemudian dibuat sebuah profile. Profile normal ini yang akan dijadikan pembanding. Bila pada sebuah kondisi (trafik jaringan maupun proses komputer) terdapat kejanggalan (anomaly), maka bisa jadi karena terinfeksi malware.

Teknik ini memiliki keunggulan untuk mendeteksi zero days attack (serangan yang mengeksploitasi celah keamanan baru), tapi kelemahannya memiliki tingkat false positive (kesalahan deteksi) yang cukup tinggi.

Teknik deteksi anomaly pada paper ini dibagi tiga: Yang pertama adalah Dynamic Anomaly based Detection. Pada teknik ini profile normal dibuat pada waktu sistem dijalankan. Teknik dinamik ini diantaranya adalah:

PAYL:

PAYL adalah sebuah tools yang dibuat oleh Wang and Stolfo. Tools ini menghitung payload pada setiap layanan (service, port) pada sebuah sistem. Tools ini menggunakan perhitungan Mahalanobis distance pada  centroid model untuk mendeteksi malware