[論文レビュー] Android Malware Detection using Large-scale Network Representation Learning

Rui Zhu, Chenglin Li+3 more|arXiv (Cornell University)|Jun 13, 2018

Advanced Malware Detection Techniques参考文献 16被引用数 11

ひとこと要約

本論文は、Androidアプリのソースコードおよびメソッドコール構造から導出されたプログラム表現グラフ（PRG）から深層表現を学習するためのグラフ畳み込みネットワーク（GCN）を用いた、新しいAndroidマルウェア検出手法を提案する。アプリを属性付きグラフとしてモデル化し、異種グラフ用のバッチ学習スキームを適用することで、従来の手法を上回る検出性能を達成し、マルウェア検出におけるグラフ表現学習の初めての応用を実現した。

ABSTRACT

With the growth of mobile devices and applications, the number of malicious software, or malware, is rapidly increasing in recent years, which calls for the development of advanced and effective malware detection approaches. Traditional methods such as signature-based ones cannot defend users from an increasing number of new types of malware or rapid malware behavior changes. In this paper, we propose a new Android malware detection approach based on deep learning and static analysis. Instead of using Application Programming Interfaces (APIs) only, we further analyze the source code of Android applications and create their higher-level graphical semantics, which makes it harder for attackers to evade detection. In particular, we use a call graph from method invocations in an Android application to represent the application, and further analyze method attributes to form a structured Program Representation Graph (PRG) with node attributes. Then, we use a graph convolutional network (GCN) to yield a graph representation of the application by embedding the entire graph into a dense vector, and classify whether it is a malware or not. To efficiently train such a graph convolutional network, we propose a batch training scheme that allows multiple heterogeneous graphs to be input as a batch. To the best of our knowledge, this is the first work to use graph representation learning for malware detection. We conduct extensive experiments from real-world sample collections and demonstrate that our developed system outperforms multiple other existing malware detection techniques.

研究の動機と目的

• 従来の署名ベース検出手法を回避する進化を続けるAndroidマルウェアの増加する脅威に対処する。
• APIのみの分析の限界を克服し、上位レベルのソースコード意味論およびメソッドレベルの属性を統合する。
• 構造化されたプログラム表現上での深層グラフ表現学習を用いて、スケーラブルで効果的なマルウェア検出システムを開発する。
• グラフベースのモデリングにより複雑な行動パターンを捉えることで、ゼロデイおよびポリモーマルウェアの堅牢な検出を可能にする。

提案手法

• メソッド呼び出しをエッジ、メソッドを属性付きのノードとしてモデル化することで、Androidアプリからプログラム表現グラフ（PRG）を構築する。
• ソースコードからのより豊かな意味論的および構造的情報を捉えるために、メソッドレベルの属性をPRGに追加する。
• グラフ畳み込みネットワーク（GCN）を適用し、全体のPRGをグローバルな構造的および意味論的特徴を捉える密なベクトル表現に埋め込む。
• 複数の異種PRGを一度の順伝播で効率的に処理できるバッチ学習スキームを設計し、学習のスケーラビリティを向上させる。
• 学習済みのグラフ埋め込みを用いて、悪意あるアプリと良性アプリを区別するGCN分類器を訓練する。
• 静的解析を活用して細粒度のプログラム構造を抽出することで、APIレベルの分析では見えない微細な悪意ある行動の検出を可能にする。

実験結果

リサーチクエスチョン

• RQ1 構造化されたプログラム表現からのグラフ表現学習は、従来のAPIベース手法を上回るAndroidマルウェア検出を可能にするか？
• RQ2 グラフ畳み込みネットワークは、Androidアプリの複雑な上位レベルの行動パターンを、マルウェア分類に有効に捉えることができるか？
• RQ3 メソッドレベルの属性を組み込むことで、回避技術に対する検出の頑健性はどの程度向上するか？
• RQ4 異種PRG用のバッチ学習スキームは、大規模なアプリデータセットにおける効率的かつスケーラブルなマルウェア検出を可能にするか？

主な発見

• 提案手法は、実世界のAndroidアプリデータセットにおいて、複数の既存のマルウェア検出手法を上回る優れた検出精度を達成した。
• PRGを通じたソースコードレベルの意味論の統合により、洗練されたおよびオブスクリュート化されたマルウェアの検出能力が顕著に向上した。
• グラフ畳み込みネットワークの使用により、アプリ内のグローバルな構造的パターンの有効な学習が可能となり、ゼロデイ脅威の検出が強化された。
• バッチ学習スキームにより、多様で異種のアプリグラフの効率的処理が可能となり、大規模データセットにおけるスケーラビリティを支援した。
• モデルは強力な一般化性能を示し、APIオンリーモデルおよび他のディープラーニングベースのベースラインと比較して優れた性能を発揮した。
• PRGにメソッド属性を統合することで、より判別力のあるグラフ埋め込みが得られ、スパイウェア的マルウェアの偽陰性が減少した。