Description
Ложными срабатываниями в антивирусной терминологии называются срабатывания на чистых файлах, не являющихся зловредными. Когда пользователь видит красный поп-ап, запрещающий запуск файла антивирусом, ему предлагается сообщить о ложном срабатывании в лабораторию. С такими заявками будут разбираться вирусные аналитики.
Тема ложных срабатываний очень важна для производителей антивирусов. Любимая игра или браузер, который используется повседневно, после обновления может начать «ловиться» антивирусом. У популярных антивирусов от этого страдают миллионы пользователей. Если системный файл ОС будет заблокирован, то такое срабатывание может закончится сервисом компьютера пользователя.
Моей задачей было построить автоматический классификатор заявок для того, чтобы разгрузить вирусную лабораторию от ручного труда.
Классификатор использовал на входе данные из 4-х бэкендов, рассчитывал около 120 сигналов и по ним вычислял вероятность зловредности файла. У классификатора были очень высокие требования к качеству. Для обучения использовались деревья решения с градиентным бустингом (GBDT), а обучающая выборка содержала 10000 примеров размеченных вручную аналитиками.
Проект занял около полугода, для него была построена специальная инфраструктура и разработан бизнес-процесс аналитика на этапе внедрения. На данный момент классификатор используется уже два года.