惡意軟件日新月異，突變的速度越來越快，單純靠資安專家以人力防范惡意攻擊可能不足，微軟揭露了機器學習如何應用在自家防毒軟件Windows Defender Antivirus上，以自動化及多層機器學習架構(gòu)，試圖縮小新的惡意軟件出現(xiàn)到被偵測的時間差。

　　Windows Defender Antivirus使用倒金字塔分層惡意軟件偵測模型（上圖），像濾網(wǎng)一層層篩出隱藏的惡意軟件，偵測模型第一層為本機端啟發(fā)式與通用型偵測，接著是元資料機器學習模型、樣本分析機器學習模型、引爆式的機器學習模型，然後到最底層的大資料分析。

　　疑似惡意軟件的檔案會經(jīng)過各層把關(guān)，每一層所負責偵測檔案的特徵不同，但多數(shù)的惡意軟件，在第一層本機端啟發(fā)式與通用型偵測階段就會被發(fā)現(xiàn)，當經(jīng)過第一層偵測後，仍存在疑慮時，便往下層移動進行更復雜的分析，越下層的分析便越精確，但是相對，所花的時間也會增加，耗費時間從第一、二層的幾毫秒到第三層的數(shù)秒，第四層數(shù)分鐘甚至是大資料分析的數(shù)小時。

　　微軟表示，Windows Defender Antivirus用了許多不同演算法來偵測惡意軟件，有一些是二元分類器，結(jié)果便是非0即1，有一些則是多元分類器，做出機率性的結(jié)果，像是分類惡意軟件、乾凈檔案、可能不需要的應用程式等類型。每一層的機器學習都被訓練來偵測不同的程式特徵，有些需要負責數(shù)百個特徵，有些則需要偵測數(shù)十萬個特徵。

　　在倒金字塔分層惡意軟件偵測模型，最快動作的分類器便是本機端啟發(fā)式與通用型偵測，用來偵測特定事件（Events）發(fā)生時的靜態(tài)屬性（Static attributes），當?shù)谝粚臃治鼋Y(jié)果為未定論，Windows Defender Antivirus便會把檔案放到沙盒中執(zhí)行，藉由分析其運作時的行為，這個階段微軟稱他為引爆式分析，或是稱為動態(tài)分析。

　　（下圖）執(zhí)行引爆式分析的時候，Windows Defender Antivirus會記錄像是注冊檔變更、檔案的產(chǎn)生與刪除甚至是程序注射等動態(tài)特徵，并把這些特徵供給其他機器學習模型使用，而其他的機器學習模型便可以綜合動態(tài)與靜態(tài)特徵，做出更加可信的預測。

　　微軟舉了一個14分鐘防護勒索軟件的例子。2017年10月14日早上11點47分，在俄國圣彼得堡的一名Windows Defender Antivirus的使用者，從一個惡意網(wǎng)站下載了一個名為FlashUtil.exe的檔案，這看似是一個Flash的更新軟件，實則是Tibbar勒索軟件。

　　Windows Defender Antivirus本機端認為這是一個可疑的檔案，便查詢云端防護服務(wù)，發(fā)現(xiàn)有幾個元資料機器學習模型認為此檔案有嫌疑，但是不到需要阻擋的層級。於是Windows Defender Antivirus暫時鎖住檔案，并將完整檔案上傳處理，等待發(fā)落。

　　數(shù)秒鐘後，經(jīng)過多重深度類神經(jīng)網(wǎng)路的樣本分析機器學習模型回傳結(jié)果，認為這個檔案有81.6％機會是惡意軟件，但是Windows Defender Antivirus設(shè)定阻擋的閾值是90％，因此檔案仍可以繼續(xù)執(zhí)行。但與此同時，全世界已經(jīng)有8位受害者電腦被勒索軟件控制，不過也因為勒索軟件在這些受害者的電腦上運作，讓Windows Defender Antivirus有機會進行引爆式分析，紀錄勒索軟件的動態(tài)特徵，當多重深度類神經(jīng)網(wǎng)路再次分析這些動態(tài)特徵時，對於預測此檔案是惡意軟件的信心高達90.7％，云端防護便開始在發(fā)布封鎖指令。

　　就在11點31分，Windows Defender Antivirus取得了這個新的勒索軟件的第一滴血。第10位使用者在烏克蘭下載了同樣的勒索軟件，Windows Defender Antivirus同樣上傳勒索軟件的特徵，不過這次在查詢云端防護系統(tǒng)後發(fā)現(xiàn)此為惡意軟件，便封鎖了這個檔案而成功保護了使用者的電腦。從發(fā)現(xiàn)惡意軟件到防護中間歷時14分鐘。