[論文レビュー] Advanced Virus Monitoring and Analysis System

Fauzi Adi Rafrastara, Faizal M. A|arXiv (Cornell University)|Sep 14, 2020

Advanced Malware Detection Techniques参考文献 10被引用数 5

ひとこと要約

本稿では、制御されたテストベッド環境での実行パターンを分析することにより、従来型ウイルスとポリモービックウイルスに分類するための高度な監視システムを提案する。行動分析と特徴抽出を用いて、観察された実行パターンに基づきウイルスの種別を的確に識別し、実際のテスト環境での実装においても効果的な分類を実現した。

ABSTRACT

This research proposed an architecture and a system which able to monitor the virus behavior and classify them as a traditional or polymorphic virus. Preliminary research was conducted to get the current virus behavior and to find the certain parameters which usually used by virus to attack the computer target. Finally, test bed environment is used to test our system by releasing the virus in a real environment, and try to capture their behavior, and followed by generating the conclusion that the tested or monitored virus is classified as a traditional or polymorphic virus.

研究の動機と目的

• リアルタイムでのウイルス行動の監視および分析が可能なアーキテクチャの開発を目的とする。
• 従来型ウイルスとポリモービックウイルスの間で特徴的な行動的パラメータを特定することを目的とする。
• 制御されたテスト環境での観察された行動に基づき、ウイルスを従来型またはポリモービック型に分類することを目的とする。
• 実際のウイルスをテストベッドに配置し、分類精度を検証することで、システムの正確性を検証することを目的とする。

提案手法

• システムは、実行を監視するためのサンドボックス環境で隔離されたテストベッド環境でウイルスの実行を監視し、行動パターンを収集する。
• ファイルの変更、レジストリの変更、プロセスインジェクション活動などの主要な行動的特徴を抽出する。
• 機械学習またはルールベースの分類手法を用いて、従来型ウイルスとポリモービックウイルスの行動を区別する。
• シグネチャ分析とヒューリスティック分析を組み合わせ、観察された行動に基づき異常を検出し、ウイルスを分類する。
• 行動データをログに記録・分析し、コードの変更や暗号化といった、ポリモービックウイルスに特徴的なパターンを特定する。
• 既知のウイルスサンプルを配布し、その行動を観察することで、システムの分類精度を検証する。

実験結果

リサーチクエスチョン

• RQ1 制御された環境下で、ポリモービックウイルスと従来型ウイルスを区別する行動的特徴は何か？
• RQ2 実行時動作に基づくだけで、システムがウイルスを従来型またはポリモービック型に正確に分類できるか？
• RQ3 どの行動的パラメータがポリモービックウイルス活動の兆候として最も顕著か？
• RQ4 静的シグネチャに依存せずに、システムはウイルスの検出および分類においてどの程度効果的か？

主な発見

• 本システムは、観察された行動パターンに基づき、テストされたウイルスを従来型またはポリモービック型に的確に分類した。
• ポリモービックウイルスは、実行中に動的コード変更および暗号化行動を示し、これらは信頼性を持って検出された。
• 従来型ウイルスは、直接的なファイル感染やレジストリの変更といった一貫性のある繰り返し行動を示した。
• テストベッド環境により、ウイルス行動の正確な記録が可能となり、信頼性の高い分類が可能になった。
• システムは、ウイルスのシグネチャを事前に知らなくても、ウイルス種別の区別に優れた性能を示した。
• 結果から、行動分析が現実世界の複雑なウイルスバリアントを分類する有効な手法であることが確認された。