[論文レビュー] Android Malware Detection using Feature Ranking of Permissions

Muhammad Suleman Saleem, Jelena Mišić+1 more|arXiv (Cornell University)|Jan 20, 2022

Advanced Malware Detection Techniques被引用数 4

ひとこと要約

本稿では、カイ二乗検定およびフィッシャーズ正確確率検定を用いた特徴ランク付けにより不要な権限を低減し、その後ランダムフォレストを用いた分類を行う、許可ベースのAndroidマルウェア検出フレームワークを提案する。Drebinデータセット全体で99.34%の正答率および92.17%のFスコアを達成し、従来の権限のみを用いた手法を上回る性能を示した。

ABSTRACT

We investigate the use of Android permissions as the vehicle to allow for quick and effective differentiation between benign and malware apps. To this end, we extract all Android permissions, eliminating those that have zero impact, and apply two feature ranking algorithms namely Chi-Square test and Fisher's Exact test to rank and additionally filter them, resulting in a comparatively small set of relevant permissions. Then we use Decision Tree, Support Vector Machine, and Random Forest Classifier algorithms to detect malware apps. Our analysis indicates that this approach can result in better accuracy and F-score value than other reported approaches. In particular, when random forest is used as the classifier with the combination of Fisher's Exact test, we achieve 99.34\% in accuracy and 92.17\% in F-score with the false positive rate of 0.56\% for the dataset in question, with results improving to 99.82\% in accuracy and 95.28\% in F-score with the false positive rate as low as 0.05\% when only malware from three most popular malware families are considered.

研究の動機と目的

• Androidマニフェストファイルから抽出した権限のみを用いて、Androidマルウェア検出の正答率およびFスコアを向上させること。
• 統計的特徴選択手法を用いて不要な権限を除外し、残りの権限をランク付けすることで、特徴次元数を低減すること。
• 決定木、SVM、ランダムフォレストの異なる機械学習分類器が、ランク付けされた権限特徴に対してどのように機能するかを評価すること。
• 本手法の正答率、Fスコア、および偽陽性率の観点から、既存の権限ベースおよびハイブリッド（権限＋コード）マルウェア検出手法と比較すること。
• 正常、危険、署名権限のカテゴリに関係なく、関連性の高い権限に焦点を当てることで、優れた検出性能が得られることを示すこと。

提案手法

• Drebinデータセットから119,808個のアプリ（114,298個の健全アプリ、5,510個のマルウェア）のマニフェストファイルからAndroid権限を抽出した。
• 統計的有意性検定を用いて、マルウェア分類に影響を与えない権限を除外した。
• カイ二乗検定およびフィッシャーズ正確確率検定を適用し、p値に基づいて権限をランク付けし、マルウェアクラスと強い関連性を持つもののみを選択した。
• フィルタリングおよびランク付けされた権限セットに対して、3つの分類器（決定木、サポートベクターマシン（SVM）、ランダムフォレスト）を用いた。
• 標準指標（正答率、Fスコア、偽陽性率）を用いて、2つのデータセット（Drebin全データおよび3つの最も一般的なマルウェアファミリーのみを含むサブセット）で性能を評価した。
• 最先端の権限ベースおよびハイブリッド（権限＋コード）手法と比較し、本手法の優位性を検証した。

実験結果

リサーチクエスチョン

• RQ1 統計的検定を用いたAndroid権限の特徴ランク付けは、フィルタリングを行わない権限セットと比較してマルウェア検出の正答率を向上させることができるか？
• RQ2 カイ二乗検定およびフィッシャーズ正確確率検定は、マルウェア検出に最も特徴的な権限を特定するためにどの程度有効か？
• RQ3 ランク付けされた権限特徴に対して適用した場合、ランダムフォレスト分類器は決定木およびSVMを上回る性能を示すか？
• RQ4 3つの最も一般的なマルウェアファミリーに限定した場合、検出性能はどのように変化するか？
• RQ5 不要な権限を除外することで、権限ベースのマルウェア検出におけるFスコアの向上および偽陽性率の低減はどの程度達成されるか？

主な発見

• 本手法は、Drebinデータセット全体でフィッシャーズ正確確率検定とランダムフォレストを用いて99.34%の正答率および92.17%のFスコアを達成した。
• 3つの最も一般的なマルウェアファミリーに限定した場合、正答率は99.82%に向上し、Fスコアは95.28%に達し、偽陽性率は0.05%まで低下した。
• 本手法はDrebin元来の手法（全データセットで93.90%の正答率）および他の権限のみを用いた手法（逐次前向き選択やPCAを用いたものも含む）を上回った。
• 0.56%という偽陽性率は、同等の研究で報告された0.60%よりも顕著に低く、Fスコア（92.17% vs. 91%）も高い水準を維持した。
• 不要な権限の除外と統計的ランク付けの活用により、APK Auditor（88%の正答率）よりも優れた結果を達成した。
• ソースコードを用いたハイブリッド手法はやや高いFスコア（95.6%）を示したが、その検証は387アプリという極めて小さなデータセットで行われたため、本手法は大規模データに対してよりスケーラブルかつ頑健であることが示された。