DOI: https://doi.org/10.22266/ijies2026.0228.07
تاريخ النشر: 2026-01-20
المؤلف: Alaa Abdulhussein Daleh Al-magsoosi وآخرون
الموضوع الرئيسي: تقنيات الكشف المتقدمة عن البرمجيات الخبيثة
نظرة عامة
تقدم ورقة البحث الشبكة العصبية الرسومية الدلالية الهجينة الثابتة والديناميكية (HSD-GNN)، وهي إطار عمل جديد يهدف إلى تحسين اكتشاف البرمجيات الضارة من خلال دمج كل من التمثيلات الهيكلية والسلوكية. أصبحت طرق الكشف التقليدية غير كافية بسبب التطور السريع للبرمجيات الضارة، التي تستخدم تقنيات مثل التعتيم والتعددية الشكلية. تتناول HSD-GNN هذه القيود من خلال دمج الرسوم البيانية لتدفق التحكم (CFGs) ورسوم بيانية لاستدعاء الوظائف (FCGs) والرسوم البيانية للسلوك (BGs) في هيكل موحد. تستخدم آلية تقليل الرسوم البيانية المدركة دلاليًا (SAGR) لتقليص المعلومات الزائدة مع الحفاظ على الدلالات الأساسية وتدمج حلقة تغذية راجعة موجهة بالشرح (EGL) لتعزيز قابلية تفسير النموذج جنبًا إلى جنب مع الأداء.
تشير النتائج التجريبية على مجموعات البيانات المرجعية، بما في ذلك BODMAS وDike Dataset وPMML، إلى أن HSD-GNN تحقق دقة ملحوظة تبلغ 98.4%، وتقليص في حجم النموذج بنسبة 25%، وولاء في الشرح بنسبة 91.7%، متفوقة على أجهزة الكشف القائمة على GNN الحالية. يتم التحقق من متانة الإطار من خلال التحليلات الإحصائية وتقييمات عبر مجموعات البيانات، مما يؤكد استقراره وقدراته على التعميم. تختتم الدراسة بتسليط الضوء على الإمكانية للبحث المستقبلي لتوسيع HSD-GNN في سياقات التعلم الفيدرالي والمستمر، بالإضافة إلى دمج نمذجة الرسوم البيانية الزمنية واختبار المتانة ضد الهجمات، مما يعزز قابليته للتكيف مع تهديدات البرمجيات الضارة المتطورة. بشكل عام، تمثل HSD-GNN تقدمًا كبيرًا في دمج تعلم الرسوم البيانية والذكاء الاصطناعي القابل للتفسير ضمن الأمن السيبراني.
مقدمة
تسلط المقدمة الضوء على التهديد المتزايد الذي تشكله البرمجيات الضارة (البرمجيات الخبيثة) على البنى التحتية الرقمية العالمية، والذي تفاقم بسبب تزايد الترابط بين الأجهزة، بما في ذلك الشبكات المؤسسية وإنترنت الأشياء (IoT). أصبحت طرق الكشف التقليدية عن البرمجيات الضارة، التي تعتمد على مطابقة التوقيع والقواعد الاستدلالية، غير كافية بسبب تعقيد البرمجيات الضارة المتطور، الذي يستخدم تقنيات مثل التعتيم والتعددية الشكلية. استجابةً لذلك، يتجه مجتمع الأمن السيبراني نحو تقنيات التعلم الآلي (ML) والتعلم العميق (DL)، وخاصة التعلم القائم على الرسوم البيانية، الذي يستخدم الرسوم البيانية لتدفق التحكم (CFGs) ورسوم بيانية لاستدعاء الوظائف (FCGs) للتحليل الثابت، بالإضافة إلى الرسوم البيانية للسلوك (BGs) للتحليل الديناميكي.
تقدم الشبكات العصبية الرسومية (GNNs) طريقًا واعدًا لتعزيز اكتشاف البرمجيات الضارة من خلال تمكين تعلم كل من الاعتماديات على مستوى العقدة وعلى مستوى الرسم البياني، مما يسهل انتشار الميزات عبر الأبعاد الهيكلية والعلاقات. ومع ذلك، لا تزال هناك عدة تحديات: دمج التحليل الثابت والديناميكي ليس مُحسّنًا بالكامل، وغالبًا ما تتجاهل تقنيات التقليم الحالية الأهمية الدلالية، والعديد من أجهزة الكشف القائمة على GNN تعمل كصناديق سوداء، مما يثير القلق بشأن قابلية التفسير في تطبيقات الأمن السيبراني الحرجة.
طرق
تقدم قسم المنهجية الشبكة العصبية الرسومية الدلالية الهجينة الثابتة والديناميكية (HSD-GNN)، وهو إطار عمل جديد مصمم لاكتشاف البرمجيات الضارة يدمج مصادر بيانات الرسوم البيانية المختلفة ويعزز القابلية للتفسير. على عكس الطرق التقليدية القائمة على الرسوم البيانية التي تركز فقط على الطبوغرافيا أو تحليل الرسوم البيانية، تستخدم HSD-GNN نهجًا شاملاً يتضمن تقليمًا مدركًا دلاليًا وآليات تغذية راجعة ضمن هيكل تحسين موحد. يهدف هذا الدمج إلى تحقيق عتبات كشف عالية، وتقليل التكاليف الحاسوبية، وتحسين قابلية تفسير النموذج.
لتسهيل الفهم والاتساق في تطبيق المفاهيم الرياضية، يقدم المؤلفون ملخصًا للرموز المستخدمة في إطار عمل HSD-GNN في الجدول 1. بالإضافة إلى ذلك، يوضح الخوارزمية 1 دورة التحسين الكاملة لـ HSD-GNN، موضحًا عمليات بناء الرسوم البيانية الهجينة، والتقليم الدلالي، والترميز ثنائي التدفق، ومحاذاة القابلية للتفسير ضمن حلقة تدريب واحدة. تعمل هذه الخوارزمية كدليل إجرائي، توضح الخطوات الأولية لدمج الجوار المتعدد المناظر والميزات، تليها تطبيق تقليل الرسوم البيانية المدركة دلاليًا (SAGR) لإزالة العقد الزائدة مع الحفاظ على النزاهة الدلالية.
نتائج
يقيم قسم النتائج أداء وكفاءة وقابلية تفسير الشبكة العصبية الرسومية الدلالية الهجينة الثابتة والديناميكية (HSD-GNN) من خلال التجارب التي أجريت على مجموعات بيانات BODMAS وDikeDataset وPMML. باستخدام PyTorch Geometric 2.5 وCUDA 12.2 وNVIDIA RTX A6000 GPU، تم تدريب جميع النماذج لمدة 150 دورة باستخدام مُحسّن آدم، ومعدل تعلم قدره 0.001، وحجم دفعة قدره 64. كان الهدف من التقييم هو معالجة ثلاثة أسئلة رئيسية: الأداء المقارن لـ HSD-GNN مقابل أجهزة الكشف القائمة على GNN الحديثة، التأثير الكمي للوحدات المقترحة (SAGR وEGL)، وكفاءة الإطار، وقابلية تفسيره، ومتانته تحت التحقق المتقاطع.
شملت مقاييس الأداء الدقة (Acc)، والدقة (P)، والاسترجاع (R)، ودرجة F1 (F1)، والمساحة تحت المنحنى (AUC)، وحجم النموذج (MS بالميغابايت)، ووقت التدريب (TT بالدقائق)، ودقة الشرح (ExpAcc %)، التي تقيس التوافق بين الرسوم الفرعية المتوقعة والمكونات الضارة الحقيقية. لضمان القابلية للتكرار، يقدم الجدول 2 بروتوكولًا شاملاً يوضح إصدارات مجموعات البيانات، وخطوات المعالجة المسبقة، والمعلمات الفائقة، وتكوينات SAGR/EGL، والإعدادات البيئية، مما يعمل كمرجع موحد لتكرار خط الأنابيب التجريبي الموضح في القسم 3.
مناقشة
تسلط قسم المناقشة في ورقة البحث الضوء على قيود طرق الكشف عن البرمجيات الضارة القائمة على الرسوم البيانية الحالية، التي تعتمد غالبًا على معلومات ثابتة أو ديناميكية معزولة، مما يؤدي إلى نقص في السياق السلوكي الشامل والوعي الدلالي. يهدف إطار العمل المقترح للشبكة العصبية الرسومية الدلالية الهجينة الثابتة والديناميكية (HSD-GNN) إلى معالجة هذه القضايا من خلال دمج الرسوم البيانية الهيكلية الثابتة (رسوم بيانية لتدفق التحكم ورسوم بيانية لاستدعاء الوظائف) مع الرسوم البيانية السلوكية الديناميكية المستمدة من تفاعلات استدعاء واجهة برمجة التطبيقات (API). تشمل الأهداف الرئيسية تطوير آلية تقليل الرسوم البيانية المدركة دلاليًا، ودمج القابلية للتفسير ضمن عملية التعلم، وتقييم أداء النموذج بدقة عبر مجموعات بيانات البرمجيات الضارة المختلفة.
تعتبر مساهمات هذا البحث مهمة، حيث تقدم تمثيلًا هجينيًا موحدًا للرسوم البيانية يسهل التعلم المشترك لبنية البرنامج وسلوك التشغيل. تعزز تقنية تقليل الرسوم البيانية المدركة دلاليًا (SAGR) الكفاءة الحاسوبية مع الحفاظ على المعلومات الدلالية الحيوية. بالإضافة إلى ذلك، يستخدم الإطار بنية تعلم ثنائية التدفق تجمع بين الشبكات العصبية التلافيفية الرسومية والشبكات العصبية الانتباهية الرسومية، جنبًا إلى جنب مع حلقة تعلم موجهة بالشرح (EGL) تقوم بتحسين معلمات النموذج بشكل تكراري بناءً على تغذية راجعة قابلة للتفسير. تظهر التقييمات الشاملة أن HSD-GNN تتفوق على النماذج الحالية في دقة الكشف، وقابلية التوسع، وقابلية التفسير، مما يضع أساسًا قويًا للتقدم المستقبلي في الكشف عن البرمجيات الضارة القابلة للتفسير القائمة على الرسوم البيانية.
القيود
تتعدد قيود الأبحاث الحالية حول الشبكات العصبية الرسومية (GNNs) لاكتشاف البرمجيات الضارة. بينما أظهرت نماذج مختلفة، مثل الشبكات العصبية التلافيفية الرسومية (GCNs) والشبكات العصبية الانتباهية الرسومية (GATs) والشبكات العصبية المتساوية الشكل الرسومية (GINs)، وعدًا في اكتشاف البرمجيات الضارة من خلال تحليل الرسوم البيانية لتدفق التحكم (CFGs) للبرامج التنفيذية على نظام ويندوز، فإنها عادةً ما تركز على معلومات ثابتة أو ديناميكية. تؤدي هذه الفجوة إلى أجهزة كشف تعتمد على نمط واحد تفتقر إلى التعميم والمرونة ضد متغيرات البرمجيات الضارة الجديدة. غالبًا ما تعتمد الأساليب الهجينة التي تحاول دمج الميزات الثابتة والديناميكية على تقنيات دمج مبكرة أو متأخرة تُدخل الضوضاء والتكرار، مما يعقد عملية الكشف.
علاوة على ذلك، تميل الطرق الحالية التي تستخدم تقنيات تقليل الرسوم البيانية إلى تجاهل الأهمية الدلالية للعقد، مثل استدعاءات واجهة برمجة التطبيقات الحرجة أو روتينات التعتيم، مما قد يؤدي إلى فقدان غير مقصود لمكونات ذات صلة وظيفيًا. تؤثر هذه السلبية سلبًا على كل من دقة الكشف وقابلية التفسير. بالإضافة إلى ذلك، يفتقر المجال إلى آليات قوية للقابلية للتفسير؛ بينما اكتسب الذكاء الاصطناعي القابل للتفسير (XAI) زخمًا في مجالات أخرى، لا تزال تطبيقاته في اكتشاف البرمجيات الضارة غير متطورة. تقدم معظم أجهزة الكشف المدفوعة بـ GNN تصنيفات ثنائية دون توضيح الأسباب وراء قراراتها، مما يقوض ثقة محترفي الأمن السيبراني الذين يحتاجون إلى تفسيرات واضحة للتحقيقات الجنائية. على الرغم من اختبار بعض الشارحين بعد التدريب مثل GNN Explainer وGraph LIME، إلا أنها لا تتكامل مع عملية تحسين النموذج، مما يحد من فائدتها العملية في سياقات الأمان الواقعية.
DOI: https://doi.org/10.22266/ijies2026.0228.07
Publication Date: 2026-01-20
Author(s): Alaa Abdulhussein Daleh Al-magsoosi et al.
Primary Topic: Advanced Malware Detection Techniques
Overview
The research paper introduces the Hybrid Static-Dynamic Semantic Graph Neural Network (HSD-GNN), a novel framework aimed at improving malware detection by integrating both structural and behavioral representations. Traditional detection methods have become inadequate due to the rapid evolution of malware, which employs techniques such as obfuscation and polymorphism. HSD-GNN addresses these limitations by combining Control Flow Graphs (CFGs), Function Call Graphs (FCGs), and Behavior Graphs (BGs) into a unified structure. It utilizes a Semantic-Aware Graph Reduction (SAGR) mechanism to prune redundant information while preserving essential semantics and incorporates an Explainability-Guided Learning (EGL) feedback loop to enhance model interpretability alongside performance.
Experimental results on benchmark datasets, including BODMAS, Dike Dataset, and PMML, indicate that HSD-GNN achieves a remarkable accuracy of 98.4%, a reduction in model size by 25%, and an explainability fidelity of 91.7%, outperforming existing GNN-based detectors. The framework’s robustness is further validated through statistical analyses and cross-dataset evaluations, confirming its stability and generalization capabilities. The study concludes by highlighting the potential for future research to extend HSD-GNN into federated and continual learning contexts, as well as to incorporate temporal graph modeling and adversarial robustness testing, thereby enhancing its adaptability to evolving malware threats. Overall, HSD-GNN represents a significant advancement in the integration of graph learning and explainable AI within cybersecurity.
Introduction
The introduction highlights the escalating threat posed by malicious software (malware) to global digital infrastructures, exacerbated by the increasing interconnectivity of devices, including enterprise networks and the Internet of Things (IoT). Traditional malware detection methods, reliant on signature matching and heuristic rules, are becoming inadequate due to the evolving complexity of malware, which employs techniques such as obfuscation and polymorphism. In response, the cybersecurity community is turning to machine learning (ML) and deep learning (DL) approaches, particularly graph-based learning, which utilizes Control Flow Graphs (CFGs) and Function Call Graphs (FCGs) for static analysis, as well as Behavior Graphs (BGs) for dynamic analysis.
Graph Neural Networks (GNNs) present a promising avenue for enhancing malware detection by enabling the learning of both node-level and graph-level dependencies, thereby facilitating feature propagation across structural and relational dimensions. However, several challenges remain: the integration of static and dynamic analysis is not fully optimized, current pruning techniques often overlook semantic relevance, and many GNN-based detectors operate as black boxes, raising concerns about interpretability in critical cybersecurity applications.
Methods
The methodology section introduces the Hybrid Static Dynamic Semantic Graph Neural Network (HSD-GNN), a novel framework designed for malware detection that integrates various graph data sources and enhances explainability. Unlike traditional graph-based methods that focus solely on topology or graph analysis, HSD-GNN employs a comprehensive approach that includes semantically-aware pruning and feedback mechanisms within a unified optimization architecture. This integration aims to achieve high detection thresholds, reduce computational costs, and improve model interpretability.
To facilitate understanding and consistency in the application of mathematical concepts, the authors provide a summary of the notation used in the HSD-GNN framework in Table 1. Additionally, Algorithm 1 outlines the complete optimization cycle of HSD-GNN, detailing the processes of hybrid graph construction, semantic pruning, dual-stream encoding, and explainability alignment within a single training loop. This algorithm serves as a procedural guide, illustrating the initial steps of fusing multi-view adjacencies and features, followed by the application of Semantic-Aware Graph Reduction (SAGR) to eliminate redundant nodes while maintaining semantic integrity.
Results
The results section evaluates the performance, efficiency, and interpretability of the proposed Hybrid Static-Dynamic Semantic Graph Neural Network (HSD-GNN) through experiments conducted on the BODMAS, DikeDataset, and PMML datasets. Utilizing PyTorch Geometric 2.5, CUDA 12.2, and an NVIDIA RTX A6000 GPU, all models were trained for 150 epochs with the Adam optimizer, a learning rate of 0.001, and a batch size of 64. The evaluation aimed to address three primary questions: the comparative performance of HSD-GNN against state-of-the-art GNN-based detectors, the quantitative impact of the proposed modules (SAGR and EGL), and the framework’s efficiency, explainability, and robustness under cross-validation.
Performance metrics included accuracy (Acc), precision (P), recall (R), F1-score (F1), area under the curve (AUC), model size (MS in MB), training time (TT in minutes), and explainability accuracy (ExpAcc %), which measures the alignment between predicted subgraphs and ground-truth malicious components. To ensure reproducibility, Table 2 presents a comprehensive protocol detailing dataset versions, preprocessing steps, hyperparameters, SAGR/EGL configurations, and environmental settings, serving as a unified reference for replicating the experimental pipeline outlined in Section 3.
Discussion
The discussion section of the research paper highlights the limitations of current graph-based malware detection methods, which often rely on isolated static or dynamic information, leading to a lack of comprehensive behavioral context and semantic awareness. The proposed Hybrid Static-Dynamic Semantic Graph Neural Network (HSD-GNN) framework aims to address these issues by integrating static structural graphs (Control Flow Graphs and Function Call Graphs) with dynamic behavioral graphs derived from API call interactions. Key objectives include developing a semantically aware graph-reduction mechanism, embedding explainability within the learning process, and rigorously evaluating the model’s performance across various malware datasets.
The contributions of this research are significant, introducing a unified hybrid graph representation that facilitates joint learning of program structure and runtime behavior. The Semantic-Aware Graph Reduction (SAGR) technique enhances computational efficiency while preserving critical semantic information. Additionally, the framework employs a dual-stream learning architecture that combines Graph Convolutional Networks and Graph Attention Networks, along with an Explainability-Guided Learning (EGL) loop that iteratively refines model parameters based on interpretable feedback. Comprehensive evaluations demonstrate that HSD-GNN outperforms existing models in detection accuracy, scalability, and interpretability, establishing a robust foundation for future advancements in explainable graph-based malware detection.
Limitations
The limitations of current research on Graph Neural Networks (GNNs) for malware detection are multifaceted. While various models, such as Graph Convolutional Networks (GCNs), Graph Attention Networks (GATs), and Graph Isomorphism Networks (GINs), have shown promise in detecting malware through the analysis of control flow graphs (CFGs) of Windows binaries, they typically focus on either static or dynamic information. This separation results in single modality-based detectors that lack generalization and resilience against novel malware variants. Hybrid approaches attempting to integrate both static and dynamic features often rely on early or late fusion techniques that introduce noise and redundancy, further complicating the detection process.
Moreover, existing methods that utilize graph-reduction techniques tend to overlook the semantic significance of nodes, such as critical API calls or obfuscation routines, which can lead to the inadvertent loss of functionally relevant components. This oversight negatively impacts both detection accuracy and interpretability. Additionally, the field lacks robust explainability mechanisms; while explainable AI (XAI) has gained traction in other domains, its application in malware detection remains underdeveloped. Most GNN-driven detectors provide binary classifications without elucidating the rationale behind their decisions, undermining the confidence of cybersecurity professionals who require clear explanations for forensic investigations. Although some after-training explainers like GNN Explainer and Graph LIME have been tested, they do not integrate with the model’s optimization process, limiting their practical utility in real-world security contexts.