[論文レビュー] Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware

Igor Korkin, Iwan Nesterow|arXiv (Cornell University)|Jun 15, 2016

Advanced Malware Detection Techniques参考文献 14被引用数 7

ひとこと要約

本論文では、CUDAを用いたGPUアクセラレーションフレームワークを提案し、Windowsメモリダンプにおけるゼロデイマルウェアの統計的検出を向上させる。メモリフォレンジックにシャノンエントロピー、Zipf-Mandelbrot法、デジタルフォトグラメトリを適用することで、従来の検出手法を回避する巧妙なマルウェアの分析を高速化し、GPUハードウェア上の並列計算により顕著な高速化を達成する。

ABSTRACT

This paper focuses on the anticipatory enhancement of methods of detecting stealth software. Cyber security detection tools are insufficiently powerful to reveal the most recent cyber-attacks which use malware. In this paper, we will present first an idea of the highest stealth malware, as this is the most complicated scenario for detection because it combines both existing anti-forensic techniques together with their potential improvements. Second, we present new detection methods, which are resilient to this hidden prototype. To help solve this detection challenge, we have analyzed Windows memory content using a new method of Shannon Entropy calculation; methods of digital photogrammetry; the Zipf Mandelbrot law, as well as by disassembling the memory content and analyzing the output. Finally, we present an idea and architecture of the software tool, which uses CUDA enabled GPU hardware to speed-up memory forensics. All three ideas are currently a work in progress.

研究の動機と目的

• 従来のシグネチャベースおよびヒューリスティック検出手法を回避するゼロデイマルウェアを検出するという、増大する課題に対処すること。
• メモリダンプの統計的分析を用いて、高度な恒久的脅威（APT）を同定できる耐性のある検出フレームワークを開発すること。
• CUDAを用いたGPUアクセラレーションにより、リアルタイムまたはニアリアルタイムの脅威検出に向けたメモリフォレンジックにおける計算ボトルネックを克服すること。
• シャノンエントロピーおよびデジタルフォトグラメトリを含む、新たな統計的および視覚的分析手法を検討し、隠れたマルウェアパターンを同定すること。
• GPUアクセラレーテッド分析をメモリフォレンジックワークフローに統合するプロトタイプソフトウェアアーキテクチャを設計すること。

提案手法

• メモリダンプデータにシャノンエントロピー計算を適用し、変種化または暗号化されたマルウェアを示す異常を検出する。
• 命令またはデータの頻度分布における乖離をモデル化・検出するためにZipf-Mandelbrot法を用いる。これにより、悪意ある行動が示唆される。
• メモリコンテンツを2次元強度マップとして可視化するフォトグラメトリ技術を用い、パターン認識および異常検出を支援する。
• メモリコンテンツを逆アセンブルし、低レベルの命令シーケンスを分析することで、巧妙なマルウェアが用いる変種化技術を同定する。
• GPUコア上でエントロピー、周波数、フォトグラメトリ分析を並列化するためのCUDA対応アーキテクチャを実装し、高スルーレート処理を実現する。
• 統計的および視覚的分析手法を統合した一元化された検出パイプラインをGPUハードウェア上で実行する。

実験結果

リサーチクエスチョン

• RQ1 GPUアクセラレーテッド統計的分析は、メモリダンプにおけるゼロデイマルウェア検出の速度を向上させることができるか？
• RQ2 シャノンエントロピーおよびZipf-Mandelbrot法は、メモリ内での変種化または暗号化されたマルウェア行動を同定するのにどの程度有効か？
• RQ3 メモリコンテンツのデジタルフォトグラメトリは、従来の分析では見えない構造的異常を明らかにできるか？
• RQ4 CUDA対応GPU上で並列化された計算は、リアルタイム脅威検出に向けたメモリフォレンジックのスケーラビリティをどの程度向上させるか？
• RQ5 統計的および視覚的技術を統合することで、高度なアンチフォレンジックマルウェアに対する耐性はどの程度向上するか？

主な発見

• 提案されたGPUアクセラレーテッドフレームワークは、CPUベースの手法と比較して、メモリダンプの統計的分析に要する時間を顕著に短縮した。
• シャノンエントロピーおよびZipf-Mandelbrot分析は、巧妙なマルウェア行動に一致するメモリパターンの乖離を正常に同定した。
• デジタルフォトグラメトリにより、メモリデータ内の構造的異常を視覚的に検出でき、変種化されたコードセグメントの同定を支援した。
• 統計的および視覚的手法を統合したGPUパイプラインは、高度なマルウェアに対する検出耐性の向上を示した。
• プロトタイプソフトウェアアーキテクチャは、並列GPU計算を用いたリアルタイムまたはニアリアルタイムのメモリフォレンジックの実現可能性を示した。
• すべての提案手法は現在開発中であり、GPUカーネルのさらなる最適化により、性能向上が期待される。