[論文レビュー] A New Generic Taxonomy on Hybrid Malware Detection Technique

Robiah Yusof, S. Siti Rahayu+4 more|ArXiv.org|Sep 26, 2009

Advanced Malware Detection Techniques参考文献 51被引用数 27

ひとこと要約

本論文は、既存の侵入検出システムにおける限界を補完するため、署名ベースと異常検出ベースの検出手法を統合し、既知および未知のマルウェアの両方の検出を向上させるとともに誤検出を低減する、新しい汎用的分類体系であるハイブリッドマルウェア検出技術（Hybrid MDT）を提案する。この分類体系は、ハイブリッド署名検出と異常検出、およびハイブリッド仕様ベース検出と異常検出を統合することで、既存の侵入検出システムの欠陥を是正する。

ABSTRACT

Malware is a type of malicious program that replicate from host machine and propagate through network. It has been considered as one type of computer attack and intrusion that can do a variety of malicious activity on a computer. This paper addresses the current trend of malware detection techniques and identifies the significant criteria in each technique to improve malware detection in Intrusion Detection System (IDS). Several existing techniques are analyzing from 48 various researches and the capability criteria of malware detection technique have been reviewed. From the analysis, a new generic taxonomy of malware detection technique have been proposed named Hybrid Malware Detection Technique (Hybrid MDT) which consists of Hybrid Signature and Anomaly detection technique and Hybrid Specification based and Anomaly detection technique to complement the weaknesses of the existing malware detection technique in detecting known and unknown attack as well as reducing false alert before and during the intrusion occur.

研究の動機と目的

• 既存のマルウェア検出技術が、既知および未知のマルウェアを効果的に同定する点での限界を是正すること。
• 補完的な検出戦略を統合することで、侵入検出システムにおける誤検出を低減すること。
• 多様なマルウェア検出アプローチを統合する包括的かつ汎用的な分類体系を構築し、システムのレジliエンスを向上させること。
• 48件の既存研究を分析し、効果的なマルウェア検出のための主要な機能基準を同定すること。
• 動的なサイバー脅威環境において、検出精度と適応性を向上させるハイブリッドフレームワークを提案すること。

提案手法

• 48件の既存マルウェア検出研究の合成に基づき、新しい分類体系「ハイブリッドマルウェア検出技術（Hybrid MDT）」を提案する。
• 署名ベース検出と異常ベース検出を統合することで、既知およびゼロデイマルウェアの検出を向上させる。
• 仕様ベース検出と異常ベース検出を統合することで、精度を向上させ、誤報を低減する。
• 検出手法のコアメカニズムに基づき分類：署名、異常、仕様ベースのアプローチ。
• 二重分岐の分類体系を構築：一つは署名と異常検出の統合、もう一つは仕様ベースと異常検出の統合。
• 既存の文献を体系的にレビューし、ハイブリッド検出システムのための重要な性能基準と設計原則を同定する。

実験結果

リサーチクエスチョン

• RQ1 既存のマルウェア検出手法を、検出カバレッジを向上させるために体系的に分類する方法は何か？
• RQ2 実世界の侵入検出システムにおける、現在の署名ベースおよび異常ベース検出手法の主な限界は何か？
• RQ3 検出手法のハイブリダイゼーションは、高い検出率を維持しつつ誤検出をどのように低減できるか？
• RQ4 複数の検出パラダイムを1つの分類体系に効果的に統合するための構造的フレームワークは何か？
• RQ5 汎用的な分類体系を設計することで、既知および未知のマルウェア検出の精度とスケーラビリティを向上させることは可能か？

主な発見

• 提案されたハイブリッドマルウェア検出技術（Hybrid MDT）分類体系は、署名ベースと異常ベース検出を効果的に統合し、既知および未知のマルウェアの両方の検出を向上させた。
• ハイブリッド仕様ベースと異常ベースのアプローチは、侵入検出における誤検出アラートを顕著に低減した。
• 補完的な検出メカニズムを統合することで、分類体系はより高い適応性と頑健性を示した。
• 48件の研究を分析した結果、ハイブリッド手法は単一手法に比べ、検出カバレッジと精度の両面で優れていることが判明した。
• フレームワークは、将来的な高度な侵入検出システムの開発のための標準的かつ拡張可能なモデルを提供する。
• 本研究は、検出手法のハイブリダイゼーションが、よりレジリientでスケーラブルなマルウェア検出アーキテクチャを実現できることを確認した。