[論文レビュー] Attack and Defense of Dynamic Analysis-Based, Adversarial Neural Malware Classification Models

Jack W. Stokes, De Wang+3 more|arXiv (Cornell University)|Dec 16, 2017

Adversarial Robustness in Machine Learning参考文献 22被引用数 18

ひとこと要約

この論文は、スパースでバイナリ入力に基づく動的解析型ディープニューラルネットワーク（DNN）マルウェア分類器を標的とした敵対的攻撃を調査し、6つの攻撃戦略を提案する。3つの防御手法—蒸留、アンサンブル、重み減衰—を評価した結果、アンサンブル防御が精度を損なうことなく最も強い耐性を示した。一方、より深いネットワークは敵対的攻撃に対する耐性を高めることがわかった。

ABSTRACT

Recently researchers have proposed using deep learning-based systems for malware detection. Unfortunately, all deep learning classification systems are vulnerable to adversarial attacks. Previous work has studied adversarial attacks against static analysis-based malware classifiers which only classify the content of the unknown file without execution. However, since the majority of malware is either packed or encrypted, malware classification based on static analysis often fails to detect these types of files. To overcome this limitation, anti-malware companies typically perform dynamic analysis by emulating each file in the anti-malware engine or performing in-depth scanning in a virtual machine. These strategies allow the analysis of the malware after unpacking or decryption. In this work, we study different strategies of crafting adversarial samples for dynamic analysis. These strategies operate on sparse, binary inputs in contrast to continuous inputs such as pixels in images. We then study the effects of two, previously proposed defensive mechanisms against crafted adversarial samples including the distillation and ensemble defenses. We also propose and evaluate the weight decay defense. Experiments show that with these three defensive strategies, the number of successfully crafted adversarial samples is reduced compared to a standard baseline system without any defenses. In particular, the ensemble defense is the most resilient to adversarial attacks. Importantly, none of the defenses significantly reduce the classification accuracy for detecting malware. Finally, we demonstrate that while adding additional hidden layers to neural models does not significantly improve the malware classification accuracy, it does significantly increase the classifier's robustness to adversarial attacks.

研究の動機と目的

• 動的解析に基づくマルウェア分類器に標的となるスパースでバイナリ入力に基づく敵対的攻撃戦略を調査すること。
• 動的解析環境下で、既存の防御手法—蒸留とアンサンブル—が敵対的マルウェアサンプルに対してどの程度効果を発揮するかを評価すること。
• モデルの耐性を向上させるために、新たな重み減衰防御機構を提案し、その分析を行うこと。
• ネットワークの深さを増加させることで、マルウェア検出精度を低下させることなく敵対的耐性が向上するかどうかを評価すること。
• 防御機構がマルウェア検出システムの分類性能を顕著に低下させるかどうかを特定すること。

提案手法

• 悪意ある特徴を意図的に削除する、または良性の特徴を追加することで、入力バイナリ表現を摂動させる敵対的マルウェアサンプルを生成する。
• 勾配ベースの最適化手法を用いて、元のマルウェアラベルを維持しつつDNNによって誤分類される入力を生成する。
• 教師モデルのソフトラベルを模倣するように学生モデルを訓練することで、蒸留防御を実装し、微小な入力摂動に対する感受性を低減する。
• 複数の多様なDNNモデルを訓練し、その予測を統合することで、アンサンブル防御を実装し、標的攻撃に対する感受性を低減する。
• 訓練中にL2正則化を適用することで、重みを制約し一般化性能を向上させる重み減衰防御を導入する。
• 段階的に深くするDNNを訓練し、アーキテクチャの深さが精度および敵対的耐性に与える影響を評価する。

実験結果

リサーチクエスチョン

• RQ1 6つの異なる敵対的攻撃戦略は、動的解析に基づくDNN分類器を回避するように摂動を加えたマルウェアサンプルをどの程度効果的に生成できるか？
• RQ2 蒸留およびアンサンブル防御は、動的マルウェア分類器に対する敵対的攻撃の成功率をどの程度低減するか？
• RQ3 提案された重み減衰防御は、敵対的マルウェアサンプルに対する耐性を顕著に向上させるか？
• RQ4 DNNの隠れ層の数を増加させることで、分類精度および敵対的攻撃に対する耐性にどのような影響が生じるか？
• RQ5 蒸留、アンサンブル、重み減衰といった防御機構は、ベースラインのマルウェア検出精度を著しく損なうか？

主な発見

• アンサンブル防御は、蒸留および重み減衰防御よりも顕著に優れた耐性を示し、他の防御手法よりも効果的に敵対的サンプルの生成数を削減した。
• 蒸留防御は特徴の削除攻撃の効果を低下させ、中程度の耐性を示したが、アンサンブル手法に比べて劣っていた。
• 重み減衰防御は敵対的サンプルに対してほとんど保護を提供せず、ベースラインと比較して耐性の向上がほとんど見られなかった。
• DNNにより多くの隠れ層を追加しても、マルウェア分類精度は顕著に向上しなかったが、敵対的攻撃に対する耐性は著しく向上した。
• 3つの防御機構すべてが、全体のマルウェア検出精度を顕著に低下させることはなく、検出能力を損なわないという重要な要件を満たした。
• 結果から、精度の向上がわずかであっても、深層ニューラルネットワークは浅いモデルよりも inherently より高い敵対的耐性を有することが確認された。