EGAMA-RC propõe triagem de malware em memória forense calibrada por risco e evidência
Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
O artigo aborda um problema prático da triagem de malware em análise de memória (memory forensics): classificadores de machine learning costumam reportar alta acurácia em dados limpos de teste, mas isso diz pouco sobre como o sistema se comporta diante de incerteza, amostras adversariais ou famílias de malware nunca vistas — justamente as situações mais críticas em um caso real de resposta a incidente. O EGAMA-RC (Evidence-Gated Adaptive Malware Analysis, Risk-Calibrated) é proposto como uma resposta a essa lacuna, construído sobre uma etapa prévia de refinamento de atributos guiada por SHAP.
O funcionamento combina várias camadas: seleção de atributos específica para o dataset, avaliação com um conjunto (pool) de modelos para checar robustez, testes contra amostras adversariais e famílias de malware fora do conjunto de treino, um escore de novidade para sinalizar casos potencialmente inéditos, e evidências condicionadas a explicações (explanation-conditioned evidence) que dão transparência à decisão. O roteamento final é estratificado por risco: amostras de baixo risco são aceitas automaticamente pelo pipeline, enquanto casos incertos, de alto risco ou possivelmente novos são encaminhados para revisão humana, escalonamento ou tratamento específico de novidade.
Os números reportados, obtidos em três datasets de malware com um protocolo multi-seed fixo, mostram 93,12% das amostras aceitas automaticamente, com 99,86% de acurácia entre as aceitas e apenas 0,136% de taxa de falso-aceite — ou seja, casos maliciosos classificados erroneamente como seguros e liberados sem revisão. A calibração de novidade reduziu comportamento excessivamente restritivo (revisão desnecessária) sem abrir mão de um perfil de falso-aceite baixo, e o caminho rápido via XGBoost entrega inferência com latência de milissegundos (p50/p95 de 0,0054/0,0059 ms por amostra).
O argumento central dos autores — e o que dá relevância prática ao trabalho — é que triagem confiável de malware em contexto forense não pode depender só de acurácia de classificação: incerteza, novidade e explicabilidade da decisão são tão importantes quanto o número de acertos, porque é isso que permite a um analista confiar (ou desconfiar) do que o pipeline decidiu automaticamente. Para equipes que lidam com grandes volumes de dumps de memória e amostras suspeitas, esse tipo de arquitetura de triagem calibrada por risco pode reduzir a carga de revisão manual sem aumentar silenciosamente o risco de deixar passar malware genuíno.