[論文レビュー] A Comparative Analysis of Android Malware

Neeraj Chavan, Fabio Di Troia+1 more|arXiv (Cornell University)|Jan 21, 2019

Advanced Malware Detection Techniques参考文献 19被引用数 4

ひとこと要約

本稿では、機械学習を用いてAndroidマルウェアの検出および分類を行う静的で許可ベースのアプローチを提案する。高影響度のパーミッションの削減されたセットを特徴量として活用することで、ランダムフォレストおよび人工ニューラルネットワークを用いて、マルウェア分類で95%を超える正確性、検出で97%を超える正確性を達成した。これは、悪意ある回避攻撃に対しても、パーミッション分析が依然として強固で効率的なAndroidマルウェア対策であることを示している。

ABSTRACT

In this paper, we present a comparative analysis of benign and malicious Android applications, based on static features. In particular, we focus our attention on the permissions requested by an application. We consider both binary classification of malware versus benign, as well as the multiclass problem, where we classify malware samples into their respective families. Our experiments are based on substantial malware datasets and we employ a wide variety of machine learning techniques, including decision trees and random forests, support vector machines, logistic model trees, AdaBoost, and artificial neural networks. We find that permissions are a strong feature and that by careful feature engineering, we can significantly reduce the number of features needed for highly accurate detection and classification.

研究の動機と目的

• 静的パーミッションを特徴量としてAndroidマルウェア検出および分類に有効であるかを評価すること。
• 特徴量の数を削減しても高い検出正確性を維持できるかを調査すること。
• ランダムフォレスト、SVM、ANN、LMT、ブースティングといった複数の機械学習モデルを用い、バイナリ分類およびマルチクラス分類の両方で性能を比較すること。
• パーミッション削減や追加といった代表的な回避戦術に対して、パーミッションベース検出がどれほど耐性を持つのかを評価すること。
• 計算負荷が低いため、このようなモデルがモバイルデバイスに実装可能かどうかを実用的観点から検討すること。

提案手法

• Androidマニフェストファイルから静的特徴量を収集し、要求されたパーミッションに限定して処理した。
• 多様な機械学習モデルを用いた：ランダムフォレスト、J48決定木、LMT、線形SVM、AdaBoost、および2層の隠れ層を持つフィードフォワード人工ニューラルネットワーク。
• 統計的およびモデルベースの選択手法を用いて、予測性能を保持しつつパーミッション数を削減する特徴工学的手法を適用した。
• バイナリ分類とマルチクラス分類の両設定で、実世界のマルウェアデータセット（両方のアプリを含む）を用いてモデルを学習し、別々に評価した。
• ランダムフォレスト実験では100本のツリーを、ニューラルネットワークではReLUおよびシグモイド活性化関数を用いて100エポックの学習を実施した。
• 精度、AUC、混同行列を用いて性能を評価し、特にマルウェアファミリーごとの誤分類パターンを詳細に分析した。

実験結果

リサーチクエスチョン

• RQ1 少数の慎重に選ばれたAndroidパーミッションのサブセットが、マルウェア検出および分類のための効果的で効率的な特徴量セットとして機能できるか？
• RQ2 異なる機械学習モデルは、パーミッション特徴量に基づくAndroidマルウェア分類において、どのように性能を発揮するか？
• RQ3 マルウェアが一般的なパーミッションを削除または追加することで、どれほど検出を回避できるか。また、パーミッションベース検出は依然として耐性を持つのか？
• RQ4 バイナリ分類（マルウェア対ベノム）とマルチクラス分類（ファミリーレベルの識別）の間で、モデルの性能はどのように変化するか？
• RQ5 提案手法は、計算リソースが低いという点から、モバイルデバイスに効率的に実装可能か？

主な発見

• 最小限のパーミッションサブセットで、高い正確性のマルウェア検出が可能であり、特徴量の数を減らしても性能に影響を及えないことが示された。
• ランダムフォレストは、バランスの取れたデータセットにおいて、バイナリ分類で約97%、マルチクラス分類でほぼ95%の最高テスト正確性を達成した。
• 削減された特徴量セットを用いて、人工ニューラルネットワークはバイナリ分類でAUC 0.9920を達成し、優れた識別能力を示した。
• 極めて不均衡なデータ（実世界の状況を反映）でも、ANNモデルは96%を超えるテスト正確性を維持した。
• マルチクラス分類における誤分類はまれであり、主に10件未満のサンプルしか持たない小さなマルウェアファミリーに影響を及えた。
• 本研究では、パーミッション削減や良性パーミッションの挿入といった代表的な回避技術に対しても、パーミッションベース検出が依然として耐性を持つことが示された。