Conceptualisation de code
La conceptualisation de code est une méthode d’analyse fondée sur le Deep Learning. Créée par les fondateurs de GLIMPS et reconnue scientifiquement, elle consiste à analyser directement le code binaire d’un fichier, au niveau du langage assembleur, pour en extraire la sémantique fonctionnelle, c’est-à-dire ce que le code fait réellement.
Contrairement aux méthodes de détection qui reposent sur les signatures ou les métadonnées d’un fichier, cette approche s’intéresse à la logique du programme plutôt qu’à sa forme. Elle reste donc pertinente même lorsque le code a été modifié, recompilé ou dissimulé.
Comment fonctionne la conceptualisation de code ?
Plusieurs modèles de Deep Learning combinés analysent le code exécutable des fichiers pour en extraire les concept-codes. Un concept-code n’est ni une signature ni une empreinte du fichier : il traduit ce que fait le code, sa logique de fonctionnement, indépendamment de la manière dont il a été écrit ou compilé.
Cette abstraction rend l’analyse robuste face aux techniques d’évasion. Un attaquant peut recompiler un malware, changer ses métadonnées ou appliquer de l’obfuscation pour en modifier la signature, mais la logique fonctionnelle du code, elle, reste reconnaissable par GLIMPS Malware.
Pourquoi la conceptualisation de code est-elle utile pour détecter les malwares en cybersécurité ?
En se concentrant sur le comportement du code plutôt que sur son empreinte, la conceptualisation de code permet d’identifier des menaces que les approches par signatures ne couvrent pas. Elle détecte notamment les variants de malwares connus, obtenus en modifiant un code existant, ainsi que les menaces zero-day, jamais observées auparavant.
Cette lecture sémantique facilite également le travail d’investigation : elle met en évidence les comportements des fonctions présentes dans le fichier, ce qui aide les analystes à comprendre rapidement ce qu’un fichier suspect est conçu pour faire
Comment la conceptualisation de code est-elle utilisée dans les solutions GLIMPS ?
La conceptualisation de code est au cœur du Deep Engine, le moteur de détection par Deep Learning développé par GLIMPS. Elle y est combinée à d’autres moteurs d’intelligence artificielle. Lorsqu’une soumission de fichier déclenche le moteur Deep Engine, l’analyse s’effectue de façon statique, sans exécution du fichier, pour un temps d’analyse moyen de 3 secondes.