[論文レビュー] Application of Explainable Machine Learning in Detecting and Classifying Ransomware Families Based on API Call Analysis

Rawshan Ara Mowri, Madhuri Siddula+1 more|arXiv (Cornell University)|Oct 16, 2022

Advanced Malware Detection Techniques被引用数 4

ひとこと要約

本論文は、動的実行されたバイナリからのAPIコール頻度分析を用いて15のランサムウェアファミリーを検出・分類する説明可能な機械学習フレームワークを提案する。独自開発のウェブクローラーを用いてサンプルを収集し、RFECVおよびRandomSearchCVを用いた二段階の特徴工学的手法を適用し、SHAPを活用してモデルの解釈性を高めた。ロジスティック回帰を用いることで99.15%の正確性を達成し、最も影響力の高い特徴量として'NtAlpcSendWaitReceivePort'が特定された。

ABSTRACT

Ransomware has appeared as one of the major global threats in recent days. The alarming increasing rate of ransomware attacks and new ransomware variants intrigue the researchers to constantly examine the distinguishing traits of ransomware and refine their detection strategies. Application Programming Interface (API) is a way for one program to collaborate with another; API calls are the medium by which they communicate. Ransomware uses this strategy to interact with the OS and makes a significantly higher number of calls in different sequences to ask for taking action. This research work utilizes the frequencies of different API calls to detect and classify ransomware families. First, a Web-Crawler is developed to automate collecting the Windows Portable Executable (PE) files of 15 different ransomware families. By extracting different frequencies of 68 API calls, we develop our dataset in the first phase of the two-phase feature engineering process. After selecting the most significant features in the second phase of the feature engineering process, we deploy six Supervised Machine Learning models: Na"ive Bayes, Logistic Regression, Random Forest, Stochastic Gradient Descent, K-Nearest Neighbor, and Support Vector Machine. Then, the performances of all the classifiers are compared to select the best model. The results reveal that Logistic Regression can efficiently classify ransomware into their corresponding families securing 99.15% overall accuracy. Finally, instead of relying on the 'Black box' characteristic of the Machine Learning models, we present the post-hoc analysis of our best-performing model using 'SHapley Additive exPlanations' or SHAP values to ascertain the transparency and trustworthiness of the model's prediction.

研究の動機と目的

• 多様なファミリーにわたるランサムウェアの検出および分類の正確性を向上させることで、増大するランサムウェア脅威に対処する。
• 手作業によるデータセット整備の負担を軽減するため、15のランサムウェアファミリーのWindows PEファイルの収集を自動化する。
• 信頼性と透明性を高める、強固で説明可能な機械学習パイプラインの開発。
• ハイパーパramータチューニングと特徴選択を厳密に実施し、既存手法を上回るモデル性能を実現する。

提案手法

• 15の異なるランサムウェアファミリーのポータブル実行可能ファイル（PEファイル）を、公開リポジトリから自動収集するための独自開発ウェブクローラー「GetRansomware」を構築した。
• ランサムウェアおよび良性バイナリをサンドボックス環境で実行し、APIコール頻度を抽出することで、データセットの基盤を構築した。
• 二段階の特徴工学プロセスを適用：まず68個のAPIコール頻度を抽出し、次に交差検証を用いた再帰的特徴削除（RFECV）を用いて関連性の高い特徴を同定した。
• ハイパーパramータチューニングのため、RandomSearchCVを用いて6つの教師あり機械学習モデル（ナイーブベイズ、ロジスティック回帰、ランダムフォレスト、SGD、K近傍法、SVM）を最適化した。
• 正確性、適合率、再現率、F1スコア、AUROCの観点から、比較評価の結果、ロジスティック回帰を最良のパフォーマンスを示すモデルとして選定した。
• 後処理の解釈性分析として、SHapley加法的説明（SHAP）を用い、特徴量の寄与度を解釈し、モデル意思決定の妥当性を検証した。

実験結果

リサーチクエスチョン

• RQ1 ランサムウェアサンプルの自動収集は、マルウェア検出研究のスケーラビリティと再現性を向上させることができるか？
• RQ2 APIコール頻度に基づく複数のランサムウェアファミリー分類において、どの機械学習モデルが最高の正確性を達成するか？
• RQ3 異なるAPIコールは分類意思決定にどのように寄与するか。また、どの特徴量がランサムウェア行動を最も予測可能に示すか？
• RQ4 SHAPを用いた解釈性は、ランサムウェア検出における機械学習モデルの信頼性と透明性をどの程度向上させるか？

主な発見

• ロジスティック回帰は、APIコール頻度データを用いて15の異なるランサムウェアファミリーを分類する際、99.15%の最高正確性を達成した。
• APIコール 'NtAlpcSendWaitReceivePort' の頻度が、最も影響力の高い特徴量として特定され、平均絶対SHAP値が最大となった。
• 上位20個の寄与度の高い特徴量に制限した場合でも、ロジスティック回帰モデルは95.48%の高い正確性を維持しており、残りの21個の特徴量が性能向上に寄与していることが示された。
• SHAP分析により、'NtAlpcSendWaitReceivePort' の値が低い場合、モデル出力に負の影響を与えるのに対し、'NtFsControlFile' の値が低い場合、正の影響を与えることが判明し、特徴量の方向性の影響が明らかになった。
• 本手法は、正確性と多クラス分類能力の両面で、既存のAPIベース分類手法を上回り、99.15%の正確性を達成したのに対し、先行研究の最大値は98.65%であった。
• SHAPの解釈性統合により、モデル動作に関する実用的で有用なインサイトが得られ、自動化されたランサムウェア分類システムにおける透明性と信頼性が向上した。