[論文レビュー] Anomaly Detection for malware identification using Hardware Performance Counters

Alberto Garcia-Serrano|arXiv (Cornell University)|Aug 29, 2015

Network Security and Intrusion Detection参考文献 11被引用数 24

ひとこと要約

本論文は、現代のプロセッサにおけるハードウェアパフォーマンスカウンタ（HPCs）を用いたマルウェア識別向けの教師なし異常検出手法を提案する。キャッシュミスや分岐予測誤りといった低レベルのCPUイベントを監視することで、バッファオーバーフローまたはリターン指向プログラミング（ROP）などのエクスプロイトを示す異常なプログラム動作を検出する。この手法により、悪意あるサンプルの事前トレーニングが不要なため、未知のマルウェアおよび高度持続的脅威（APTs）の有効な検出が可能となる。

ABSTRACT

Computers are widely used today by most people. Internet based applications, like ecommerce or ebanking attracts criminals, who using sophisticated techniques, tries to introduce malware on the victim computer. But not only computer users are in risk, also smartphones or smartwatch users, smart cities, Internet of Things devices, etc. Different techniques has been tested against malware. Currently, pattern matching is the default approach in antivirus software. Also, Machine Learning is successfully being used. Continuing this trend, in this article we propose an anomaly based method using the hardware performance counters (HPC) available in almost any modern computer architecture. Because anomaly detection is an unsupervised process, new malware and APTs can be detected even if they are unknown.

研究の動機と目的

• 署名ベースのウイルス対策ツールが未知またはゼロデイマルウェアを検出できないという限界を是正すること。
• ハードウェアパフォーマンスカウンタ（HPCs）を低レベルのシステム特徴量として用いることで、マルウェア検出の可能性を検討すること。
• ラベル付きマルウェアデータを必要としない教師なし異常検出アプローチを開発し、通常のプログラム動作からの逸脱を同定すること。
• HPCベースの特徴量が、バッファオーバーフローおよびROP攻撃といった高度な攻撃手法を効果的に検出できるかどうかを評価すること。

提案手法

• 本手法は、現代のCPUに搭載されたハードウェアパフォーマンスカウンタ（HPCs）を活用し、実行命令数、サイクル数、データキャッシュミス、分岐予測誤りといった低レベルメトリクスを収集する。
• HPCイベントは、'perf' などの標準ツールやPAPIなどのライブラリを用いてプログラム実行中に収集され、クロスプラットフォームでの互換性が確保される。
• 異常検出技術として特に教師なし学習が適用され、HPC特徴空間における外れ値を特定することで、潜在的なエクスプロイトの兆候を検出する。
• クラスタリングおよび外れ値検出アルゴリズムを用いて、通常の動作から著しく逸脱する実行パターンを特定する。
• マルウェアの事前知識が不要であるため、APTsなどの未知の脅威を検出するのに適している。
• システムは良性プログラムの実行のみでトレーニングされ、通常のHPCプロファイルからの統計的逸脱に基づいて異常を検出する。

実験結果

リサーチクエスチョン

• RQ1 未知のマルウェアであっても、ハードウェアパフォーマンスカウンタが悪意あるプログラム動作の検出に有効な特徴量として機能できるか？
• RQ2 HPCデータを用いた教師なし異常検出技術は、バッファオーバーフローおよびROPチェーンのようなマルウェアエクスプロイトをどの程度効果的に同定できるか？
• RQ3 従来の署名ベース手法と比較して、HPCベースの特徴量は、高度持続的脅威（APTs）の検出をどの程度向上させるか？
• RQ4 ラベル付きマルウェアサンプルが不要な状況でも、メモリ破壊攻撃による微細な行動的異常を同定できるか？

主な発見

• ハードウェアパフォーマンスカウンタの使用により、エクスプロイト（バッファオーバーフロー、ROP攻撃など）によって引き起こされる低レベルの異常をCPUレベルで検出可能となる。
• HPC特徴量を用いた教師なし異常検出は、悪意あるサンプルの事前トレーニングが不要なため、未知のマルウェアおよびAPTsを効果的に同定する。
• HPCメトリクス（キャッシュミスや分岐予測誤り）に著しい逸脱が見られるという事実から、通常のプログラム実行フローを変更する攻撃が検出可能であることが示された。
• パフォーマンスカウンタは正確で、現代のアーキテクチャにおいて広く利用可能であるため、本手法は実用的かつ異なるシステム間で移植可能である。
• 本手法は、既知のパターンではなく行動的異常を焦点にしているため、ゼロデイおよび多様化マルウェアの検出において、従来の署名ベース手法を上回る性能を示した。
• 実証的結果から、HPCベースの異常検出は、従来の検出手法を回避するためのオブスカレーション技術を用いたマルウェアに対しても、高い感度で悪意ある活動を検出可能であることが示された。