Python Hash Tabanlı Zararlı Dosya Tespiti

İşletim sistemi seviyesinde zararlı yazılımları ayırt etmek için hash tabanlı karşılaştırmaların nasıl yapılandırıldığına dair pratik bir bakış. Bu yazı, temel kavramlardan başlayıp gerçek dünya senaryolarında nasıl uygulanacağını adım adım inceler. Ayrıca güvenilirlik ve performans açısından hangi hash fonksiyonlarının ne zaman tercih edilmesi gerektiğini de ele alır.

• Temel akış: Bir dosya okunur, içeriği üzerinde bir hash fonksiyonu uygulanır ve elde edilen değer, zararlı veya bilinmiyor olarak etiketli bir veritabanı ile karşılaştırılır.
• Uygulama adımları:
  
  • İşlemek üzere dosya akışı kullanın (büyük dosyalarda hafıza dostu chunking).
  • Hash fonksiyonu seçimi: İlk Tarama için SHA-256, hızlı prototipleme için MD5 ile başlayıp güvenlik gerekliliklerine göre SHA-3’e geçiş yapın.
  • Veritabanı yapısı: Basit bir set veya hash tablosu, karşılaştırmayı hızlandırır; sürümlü imzalar için sürüm alanı ekleyin.
  • Güncel kalma: Yeni zararlı sürümlerini yakalamak için günlük veya saatlik güncellemeler gereklidir.
  • Performans: Büyük kurumlar için çoklu iş parçacığı ve dosya önceliklendirme stratejileri kullanın.
  • Geri bildirim: Yanlış pozitifleri azaltmak için dosya bütünlüğü ve ek bağlam bilgisi (dosya adı, yükleme zamanını içeren metadata) kullanılabilir.
• Zaman kararlılığı ve güvenilirlik: Hash tabanlı tespit, imza tabanlı yaklaşımlara göre yeniden ortaya çıkabilir. Dosya değişince hash değişir, bu da sürücüler, paketler ve yükleyiciler için iz bırakır. Ancak zararlı dosya olarak işaretlenen bir hash’in yeni varyantları için güncel tarama listelerinin kullanılması gerekir.

1234567891011121314151617181920# Python örnek: basit dosya hash hesaplama ve karşılaştırma
import hashlib

def hash_file(path, algorithm='sha256', chunk_size=1024*1024):
    h = hashlib.new(algorithm)
    with open(path, 'rb') as f:
        while chunk := f.read(chunk_size):
            h.update(chunk)
    return h.hexdigest()

[b]Örnek kullanım[/b]
benign_hashes = {
    'd41d8cd98f00b204e9800998ecf8427e',  # örnek değerler
}
path = 'örnek_dosya.exe'
print(hash_file(path, 'sha256'))
if hash_file(path, 'sha256') in benign_hashes:
    print('Güvenli dosya')
else:
    print('Şüpheli veya bilinmiyor dosya')