كشف البرمجيات الخبيثة باستخدام تحليل الذاكرة الجنائي (Memory Forensics)

مشروع تصنيف ثنائي لاكتشاف البرمجيات الخبيثة (Malware) من بيانات تحليل الذاكرة الجنائي (Memory Forensics)، باستخدام dataset حقيقي (CIC-MalMem-2022) فيه حوالي 58 ألف عملية مأخوذة من صور ذاكرة (memory dumps) بأداة Volatility. خطوات المشروع: - فحص جودة البيانات (قيم مفقودة، تكرار، أنواع البيانات) واتخاذ قرارات موثقة لكل حالة - تحليل استكشافي (EDA) لمقارنة سلوك العمليات السليمة (Benign) والخبيثة (Malware) على أهم المؤشرات الأمنية (زي عدد الحقن في الذاكرة malfind.ninjections، والعمليات المخفية عن قائمة النظام psxview.not_in_pslist) - تحليل ومعالجة القيم الشاذة (Outliers) بمنهج IQR، مع تمييز القيم الشاذة اللي بتمثل سلوك خبيث حقيقي عن الأخطاء الفعلية في جمع البيانات - تحليل الارتباط (Correlation) بين كل خاصية والفئة المستهدفة كفحص أولي قبل البناء - تدريب موديلين: Random Forest و Logistic Regression على نفس تقسيم البيانات (80/20 stratified) - التحقق من الموديل بـ Cross-Validation (5-fold) لضمان استقرار النتيجة - تحليل أهمية الخصائص (Feature Importance) لفهم أي المؤشرات الأمنية أكتر تأثيرًا في قرار الموديل - تجربة تقليل عدد الخصائص لأهم 10 فقط والمقارنة بالنتيجة الكاملة النتيجة: Random Forest حقق دقة شبه كاملة على بيانات الاختبار، مع تفوق واضح لمؤشرات الحقن الذاكري وإخفاء العمليات، وهو ما يتماشى مع المنطق الأمني المعروف لتقنيات التخفي في البرمجيات الخبيثة. المشروع مبني بالكامل بـ Python (pandas, scikit-learn, matplotlib, seaborn) وبيحاكي دور الـ Security Data Analyst قبل الانتقال لبناء الموديل، مع تركيز خاص على أهمية الـ Recall في سياق أمني (لأن تفويت برمجية خبيثة أخطر بكتير من إنذار كاذب).