[論文レビュー] Collective Intelligence: Decentralized Learning for Android Malware Detection in IoT with Blockchain

Rajesh Kumar, Wenyong Wang+4 more|arXiv (Cornell University)|Feb 26, 2021

Advanced Malware Detection Techniques参考文献 71被引用数 9

ひとこと要約

本論文は、IoTデバイスにおけるリアルタイムAndroidマルウェア検出のため、ブロックチェーンを統合したフェデレーテッドラーニングフレームワークを提案する。分散型ローカルニューラルネットワーク（LNN）を用いて静的および動的特徴を分析し、プライベートブロックチェーン上のスマートコントラクトによりモデルの真正性を検証し、安全なアプリのアップロード／ダウンロードを実現する。本手法は96％の精度と0.98のF-measureを達成し、最先端の手法を上回る性能を示した。

ABSTRACT

The widespread significance of Android IoT devices is due to its flexibility and hardware support features which revolutionized the digital world by introducing exciting applications almost in all walks of daily life, such as healthcare, smart cities, smart environments, safety, remote sensing, and many more. Such versatile applicability gives incentive for more malware attacks. In this paper, we propose a framework which continuously aggregates multiple user trained models on non-overlapping data into single model. Specifically for malware detection task, (i) we propose a novel user (local) neural network (LNN) which trains on local distribution and (ii) then to assure the model authenticity and quality, we propose a novel smart contract which enable aggregation process over blokchain platform. The LNN model analyzes various static and dynamic features of both malware and benign whereas the smart contract verifies the malicious applications both for uploading and downloading processes in the network using stored aggregated features of local models. In this way, the proposed model not only improves malware detection accuracy using decentralized model network but also model efficacy with blockchain. We evaluate our approach with three state-of-the-art models and performed deep analyses of extracted features of the relative model.

研究の動機と目的

• 信頼できないソースからのアプリインストール増加に伴うAndroidマルウェアの脅威の増大に対処する。
• リソース制約のあるIoTデバイスにおいて、シグネチャベースおよび中央集権的なディープラーニングモデルの限界を克服する。
• 分散型モデル学習とブロックチェーンベースの信頼性検証を用いて、プライバシーを守りながらリアルタイムのマルウェア検出を実現する。
• マルウェア検出モデルの集約およびデプロイメント中に、モデルの整合性を保証し改ざんを防止する。
• 現実のIoT環境における悪意あるAndroidアプリの検出に対してスケーラブルで安全かつ高精度なソリューションを提供する。

提案手法

• 静的および動的特徴を用いてマルウェアを検出するため、非重複でデバイス固有のデータ分布に基づいて新しいローカルニューラルネットワーク（LNN）を学習する。
• モデル学習およびクラスタリングのための最も関連性の高い特徴を選択するために、ジニ情報ゲイン関数を用いる。
• 特徴分布に基づいてデータをクラスタに分割し、各クラスタごとに最適なディープラーニングモデルを選択してマルウェア分類を実施する。
• フェデレーテッドラーニングに類似したプロセスによりモデル重みを集約し、クライアント間で最新の重みを反復的に更新する。
• プライベートブロックチェーンにモデルの特徴とハッシュを保存することで、改ざん不能な監査トレースと信頼性検証を可能にする。
• ブロックチェーン上のスマートコントラクトが、アプリのアップロードおよびダウンロード時に集約されたモデル出力に基づき、マルウェア状態を検証し、承認または拒否を実行する。

実験結果

リサーチクエスチョン

• RQ1 リソース制約のあるAndroid IoTデバイスにおいて、どのように分散型でプライバシーを守ったマルウェア検出を実現できるか？
• RQ2 フェデレーテッドラーニングとブロックチェーンを組み合わせることで、Androidマルウェア検出におけるモデルの信頼性と検出精度を向上させられるか？
• RQ3 本手法は、従来のシグネチャベースおよび中央集権的なディープラーニング手法と比較して、精度およびリアルタイム検出においてどのように優れているか？
• RQ4 ブロックチェーンベースのスマートコントラクト検証は、アプリのアップロード／ダウンロードプロセスをどのようにセキュアにするか？
• RQ5 特徴のクラスタリングおよび各クラスタごとのモデル特化は、全体の検出パフォーマンスにどのように影響するか？

主な発見

• 提案フレームワークは96％の精度と0.98のF-measureを達成し、DNN/RNN（90％）、CNN（90％）、マルチレイヤーパーセプトロン（89％）といった既存手法を顕著に上回った。
• フェデレーテッドラーニングとブロックチェーンの統合により、モデルの真正性が保証され、モデル集約およびデプロイメント中の改ざんが防止された。
• ブロックチェーン上のスマートコントラクトが、アプリのアップロードおよびダウンロード時にリアルタイムでマルウェア状態を検証し、動的アクセス制御を実現した。
• ジニベースの特徴選択の活用により、高影響特徴に焦点を当てることでモデルの効率性と検出性能が向上した。
• 計算能力比と平均トランザクションスルーレートの間には正の相関関係が示され、分散ネットワークにおけるスケーラビリティが裏付けられた。
• 従来のブロックチェーンベースのマルウェア検出システムと比較して、本研究は、単なるログ記録やデータ記録にとどまらず、リアルタイム検出と動的意思決定を可能にする点で独自性を有している。