[論文レビュー] A New Deep Boosted CNN and Ensemble Learning based IoT Malware Detection

Saddam Hussain Khan, Wasi Ullah|arXiv (Cornell University)|Dec 15, 2022

Advanced Malware Detection Techniques被引用数 5

ひとこと要約

本論文は、カスタムのSqueezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNNとアンサンブル分類器を用いて、IoTマルウェア検出のための新しい深層学習フレームワーク、Deep Squeezed-Boosted and Ensemble Learning (DSBEL) を提案する。このモデルは、マルチパスの拡張畳み込み、境界領域処理、およびトランスファー学習を活用することで、グローバルな悪意あるパターンを捉えることができ、IoT_Malwareデータセット上で98.50%の精度、97.12%のF1スコア、98.42%の適合率を達成した。

ABSTRACT

Security issues are threatened in various types of networks, especially in the Internet of Things (IoT) environment that requires early detection. IoT is the network of real-time devices like home automation systems and can be controlled by open-source android devices, which can be an open ground for attackers. Attackers can access the network credentials, initiate a different kind of security breach, and compromises network control. Therefore, timely detecting the increasing number of sophisticated malware attacks is the challenge to ensure the credibility of network protection. In this regard, we have developed a new malware detection framework, Deep Squeezed-Boosted and Ensemble Learning (DSBEL), comprised of novel Squeezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNN and ensemble learning. The proposed STM block employs multi-path dilated convolutional, Boundary, and regional operations to capture the homogenous and heterogeneous global malicious patterns. Moreover, diverse feature maps are achieved using transfer learning and multi-path-based squeezing and boosting at initial and final levels to learn minute pattern variations. Finally, the boosted discriminative features are extracted from the developed deep SB-BR-STM CNN and provided to the ensemble classifiers (SVM, MLP, and AdabooSTM1) to improve the hybrid learning generalization. The performance analysis of the proposed DSBEL framework and SB-BR-STM CNN against the existing techniques have been evaluated by the IOT_Malware dataset on standard performance measures. Evaluation results show progressive performance as 98.50% accuracy, 97.12% F1-Score, 91.91% MCC, 95.97 % Recall, and 98.42 % Precision. The proposed malware analysis framework is robust and helpful for the timely detection of malicious activity and suggests future strategies

研究の動機と目的

• 進化する脅威に対して従来の検出手法が脆弱である、IoT環境における洗練されたマルウェア攻撃の増加という課題に対処する。
• 既存の深層学習モデルが、IoTマルウェアにおける同種および異種のグローバルな悪意あるパターンを捉えられていないという限界を克服する。
• 検出精度、一般化性能、リアルタイムIoTセキュリティにおける耐障害性を向上させるために、ハイブリッドな深層学習とアンサンブル学習のフレームワークを開発する。
• トランスファー学習とマルチパス特徴工学を統合することで、悪意あるバイナリ内の微細なパターン変化の検出を強化する。
• リソース制限のあるIoTデバイスにおけるマルウェアの早期検出に適したスケーラブルで効率的なソリューションを提供する。軽量でありながら強力な特徴抽出メカニズムを備える。

提案手法

• マルチパスの拡張畳み込み、境界認識処理、および領域特徴抽出を組み合わせることで、多様な悪意あるパターンを捉えることができる、新規のSqueezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNNブロックを提案する。
• CNNの初期層および最終層でトランスファー学習を適用し、事前学習済みモデルから特徴を抽出することで、マルウェア検出のための表現学習を強化する。
• マルチパスベースの圧縮とブースティング機構を実装し、多様な特徴マップを生成することで、悪意ある行動の微細な変化を検出する能力を向上させる。
• サポートベクターマシン（SVM）、マルチレイヤーパーセプトロン（MLP）、およびアダプティブブースティング（Adaboost）のアンサンブル分類器を用いて、最終予測の一般化性能と耐障害性を向上させる。
• DSBELフレームワークをIoT_Malwareデータセット上でエンドツーエンドに訓練し、精度、F1スコア、およびマシュー・ピアソン相関係数（MCC）を主なパフォーマンス指標として最適化する。
• ブーストされた特徴マップをSB-BR-STM CNNから得た識別的特徴をアンサンブル分類器に供給するハイブリッド学習戦略を採用し、意思決定境界を最適化し、過学習を低減する。

実験結果

リサーチクエスチョン

• RQ1 マルチパスの拡張畳み込みと境界領域処理を備えた新規のCNNアーキテクチャは、IoTマルウェアにおける同種および異種の悪意あるパターンを効果的に捉えることができるか？
• RQ2 トランスファー学習とマルチパス圧縮・ブースティングを統合することで、IoTマルウェア検出における特徴表現と検出精度がどの程度向上するか？
• RQ3 提案されたアンサンブル学習フレームワーク（SVM、MLP、Adaboost）は、単一モデルアプローチと比較して、一般化性能と耐障害性をどのように向上させるか？
• RQ4 DSBELフレームワークは、IoT_Malwareデータセットにおいて、既存の最先端手法と比較して、精度、F1スコア、およびMCCの観点でどの程度のパフォーマンス向上を達成するか？
• RQ5 提案されたフレームワークは、リソース制限のあるIoT環境への展開に適したまま、高い検出性能を維持できるか？

主な発見

• DSBELフレームワークは、IoT_Malwareデータセットで98.50%の検出精度を達成し、悪意あるIoTバイナリを識別する既存手法を著しく上回った。
• F1スコアが97.12%に達したことで、良性および悪意あるサンプルの両方を分類する際の適合率と再現率のバランスが良好であることが示された。
• マシュー・ピアソン相関係数（MCC）が91.91%であるため、特に不均衡なデータセットにおいても、予測の質と耐障害性が高く、優れた性能を示した。
• 再現率が95.97%であるため、実際のマルウェアインスタンスの大部分を正しく同定できていることが確認された。
• 適合率が98.42%であるため、予測されたマルウェアサンプルの大部分が実際に悪意あるものであることが示され、誤検出が最小限に抑えられた。
• SB-BR-STM CNNにおけるトランスファー学習とマルチパスブースティングの統合は、特徴の識別能を顕著に向上させ、モデルの優れた性能に寄与した。