[論文レビュー] Bio-inspired data mining: Treating malware signatures as biosequences

Ajit Narayanan, Yi Chen|arXiv (Cornell University)|Feb 15, 2013

Bacteriophages and microbial interactions参考文献 32被引用数 3

ひとこと要約

本稿では、コンピュータマルウェアのシグネチャをアミノ酸配列として扱い、バイオインフォマティクス手法を活用してマルウェア分類を改善することを提案する。複数配列アラインメントを用いてウイルスおよびワームのシグネチャをアラインメントし、保存領域および非保存領域に対して機械学習を適用することで、従来手法よりも高い分類精度を達成した。これは、バイオインspiredデータマイニング手法がサイバーセキュリティ問題に跨る応用可能性を示している。

ABSTRACT

The application of machine learning to bioinformatics problems is well established. Less well understood is the application of bioinformatics techniques to machine learning and, in particular, the representation of non-biological data as biosequences. The aim of this paper is to explore the effects of giving amino acid representation to problematic machine learning data and to evaluate the benefits of supplementing traditional machine learning with bioinformatics tools and techniques. The signatures of 60 computer viruses and 60 computer worms were converted into amino acid representations and first multiply aligned separately to identify conserved regions across different families within each class (virus and worm). This was followed by a second alignment of all 120 aligned signatures together so that non-conserved regions were identified prior to input to a number of machine learning techniques. Differences in length between virus and worm signatures after the first alignment were resolved by the second alignment. Our first set of experiments indicates that representing computer malware signatures as amino acid sequences followed by alignment leads to greater classification and prediction accuracy. Our second set of experiments indicates that checking the results of data mining from artificial virus and worm data against known proteins can lead to generalizations being made from the domain of naturally occurring proteins to malware signatures. However, further work is needed to determine the advantages and disadvantages of different representations and sequence alignment methods for handling problematic machine learning data.

研究の動機と目的

• 非生物学的データ（例：マルウェアシグネチャ）をバイオシーケンスとして表現することで、機械学習性能を向上させることの可能性を検討すること。
• 特に複数配列アラインメントを含む、既存のバイオインフォマティクスツールがマルウェアの検出および分類を改善できるかどうかを評価すること。
• 既知のタンパク質データベースが、マルウェアシグネチャから得られた知見を生物学的配列へ一般化するために使用可能かどうかを調査すること。
• 複雑で長さが可変なマルウェアデータを処理する際、異なるシーケンス表現およびアラインメント手法の相対的な有効性を比較すること。
• バイオインフォマティクス手法の跨ドメイン移転が、サイバーセキュリティ分野におけるデータマイニングに実用的な利点をもたらすかどうかを特定すること。

提案手法

• 60種のウイルスおよび60種のワームのマルウェアシグネチャを、事前に定義されたマッピング方式を用いてアミノ酸表現に変換した。
• 2段階の複数配列アラインメント処理を実施：まずウイルス系統およびワーム系統ごとに別々にアラインメントを行い、次に全120シグネチャを対象としたグローバルアラインメントで非保存領域を同定した。
• ウイルスおよびワームシグネチャ間の長さの差を、2番目のグローバルアラインメントステップによって解消した。
• アラインメント済み配列を、分類および予測のためのさまざまな機械学習手法の入力として使用した。
• 得られたパターンが既知のタンパク質データベースと照合されることで、生物学的関連性および一般化可能性を評価した。
• 本研究では、異なるシーケンス表現およびアラインメントアルゴリズムが分類精度に与える影響を評価した。

実験結果

リサーチクエスチョン

• RQ1 マルウェアシグネチャをアミノ酸配列として表現することで、マルウェア分類における機械学習モデルの性能が向上するか？
• RQ2 複数配列アラインメント手法は、マルウェア系統内における保存領域および可変領域を特定するのにどの程度有効か？
• RQ3 マルウェアシグネチャで発見されたパターンは、タンパク質データベース内の既知の生物学的配列と意味的に関連付けることができるか？
• RQ4 マルウェアデータに対して、異なるシーケンス表現およびアラインメント手法の相対的利点と欠点は何か？
• RQ5 バイオインフォマティクスツールは、サイバーセキュリティ分野の従来のデータマイニングにどの程度向上効果をもたらすか？

主な発見

• アミノ酸表現および複数配列アラインメントの使用により、ベースラインの機械学習手法と比較して、分類精度が顕著に向上した。
• 2段階アラインメントプロセスにより、ウイルスおよびワームシグネチャ間の長さの差が効果的に解消され、一貫した比較が可能になった。
• グローバルアラインメントステップで同定された非保存領域が、マルウェア系統間の区別に貴重な特徴量を提供した。
• 既知のタンパク質データベースとの照合により、予期しない類似性が発見され、生物学的データからマルウェアデータへの一般化可能性が示唆された。
• 本研究では、バイオインフォマティクス手法が非生物学的データマイニング、特にサイバーセキュリティ分野において効果的に応用可能であることを示した。
• 今後の研究では、マルウェアシグネチャのための異なる表現およびアラインメント戦略のトレードオフを体系的に評価する必要がある。