cccs/assemblyline-service-apivector

APIVector服务

该服务从Windows PE文件或内存转储中提取库导入，生成API向量分类以用于***软件分析。

服务详情

https://github.com/danielplohmann/apiscout%E5%88%A9%E7%94%A8%E5%B8%B8%E8%A7%81%E7%9A%84Windows API调用构建一种称为ApiVector的表示形式。

此服务的初始工作在GeekWeek 5期间完成（[***]

技术详情参见以下链接：

• 描述ApiScout/ApiVectors及其在malpedia数据集上应用结果的学术论文 - [***]
• GitHub代码 - https://github.com/danielplohmann/apiscout
• 博客文章 - [***]

注意：为使ApiVector AL服务正常工作，需执行以下操作：

1. 将MALPEDIA_APIKEY设置为环境变量

要充分利用该服务，应准备一组用于比较传入数据的API向量。可申请访问Malpedia并获取API密钥，服务将使用该密钥定期拉取更新。

或者，可自行生成API向量，需遵循https://github.com/danielplohmann/apiscout/blob/master/dbs/collection_example.csv%E7%9A%84%E6%A0%BC%E5%BC%8F%EF%BC%9A 为CSV文件，使用分号作为分隔符：

malware_family;sample_metadata;0;0;compressed_apivector

服务配置

以下是可用的服务配置选项：

# API向量匹配参数
# 进行处理所需的最小API向量匹配置信度
`min_confidence`: 50,
# 报告为植入家族的最小Jaccard相似度分数
# 参考https://journal.cecyf.fr/ojs/index.php/cybin/article/view/2，可根据对误报的容忍度调整
# 即使设置很高，共享大量静态链接代码的样本仍可能产生误报
# * 0.18对应TPR/FPR为90.18%和9.45%
# * 0.22对应TPR/FPR为89.10%和4.74%（最接近(0,1)点）
# * 0.32对应TPR/FPR为86.55%和0.99%
# * 0.55对应TPR/FPR为80.72%和0.09%
`min_jaccard`: 0.40

镜像变体与标签

Assemblyline服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%AF%A5%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EDebian 11，包含Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是Assemblyline服务，设计用于Assemblyline框架中运行。

若需本地测试，可通过Shell直接运行Docker镜像：

bash
docker run \
    --name APIVector \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-apivector

如需将此服务添加到Assemblyline部署中，请遵循https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment%E3%80%82

文档

Assemblyline通用文档可查阅：https://cybercentrecanada.github.io/assemblyline4_docs/