[論文レビュー] Detection of Deviations in Mobile Applications Network Behavior

Lena Chekina, Dudu Mimran+3 more|arXiv (Cornell University)|Jul 27, 2012

Advanced Malware Detection Techniques参考文献 15被引用数 11

ひとこと要約

本稿では、モバイルアプリケーションのネットワークトラフィックパターンを分析することで、悪意ある行動を検出する、軽量でデバイス内に実装された機械学習システムを提案する。本システムは、デバイス上で訓練されたユーザー固有のローカルモデルと、サーバー側のユーザーデータから得られる共同モデルを用い、逸脱を特定することで、Androidデバイス上で最小限のパフォーマンスオーバーヘッドで高精度な検出を実現する。

ABSTRACT

In this paper a novel system for detecting meaningful deviations in a mobile application's network behavior is proposed. The main goal of the proposed system is to protect mobile device users and cellular infrastructure companies from malicious applications. The new system is capable of: (1) identifying malicious attacks or masquerading applications installed on a mobile device, and (2) identifying republishing of popular applications injected with a malicious code. The detection is performed based on the application's network traffic patterns only. For each application two types of models are learned. The first model, local, represents the personal traffic pattern for each user using an application and is learned on the device. The second model, collaborative, represents traffic patterns of numerous users using an application and is learned on the system server. Machine-learning methods are used for learning and detection purposes. This paper focuses on methods utilized for local (i.e., on mobile device) learning and detection of deviations from the normal application's behavior. These methods were implemented and evaluated on Android devices. The evaluation experiments demonstrate that: (1) various applications have specific network traffic patterns and certain application categories can be distinguishable by their network patterns, (2) different levels of deviations from normal behavior can be detected accurately, and (3) local learning is feasible and has a low performance overhead on mobile devices.

研究の動機と目的

• データ漏洩や正当なアプリを模倣する悪意あるアプリからモバイルユーザーおよび回線インfraストラクチャを保護すること。
• マルウェアが埋め込まれた人気アプリの改ざんバージョンを検出すること。
• 静的解析に依存せずに、リアルタイムでデバイス内に実装された行動の逸脱を検出すること。
• モバイルデバイスにおけるローカル学習の実現可能性とパフォーマンスへの影響を評価すること。
• 異なるネットワークトラフィックパターンがアプリケーションのカテゴリを区別でき、異常を検出できることを示すこと。

提案手法

• 本システムは、2種類のモデルを学習する：ユーザーごとのローカルモデル（モバイルデバイス上）と、複数ユーザーのトラフィックパターンを集約したサーバー上の共同モデル。
• ローカルモデルは、各アプリケーションの通信から抽出したネットワークトラフィック特徴量を用いて機械学習で訓練される。
• ネットワークトラフィック特徴量には、パケットサイズ、頻度、宛先IPアドレス、プロトコルタイプが含まれる。
• 逸脱検出は、リアルタイムのトラフィックを学習済みの正常行動と比較する統計的および機械学習的手法を用いて実施される。
• 異常検出アルゴリズムを用いて、学習済みのベースラインから著しく逸脱するトラフィックパターンを特定する。
• 検証は、実世界のアプリケーショントラフィックを用いてAndroidデバイス上で実施され、検出精度とパフォーマンスオーバーヘッドの両方が検証された。

実験結果

リサーチクエスチョン

• RQ1 異なるモバイルアプリケーションは、悪意ある行動と正常な行動を信頼性高く区別できる独自のネットワークトラフィックパターンを示すか？
• RQ2 ローカルでデバイス内に実装された学習は、計算オーバーヘッドを最小限に抑えつつ行動の逸脱を検出できるか？
• RQ3 集約されたユーザーデータから得られる共同モデルは、レアな攻撃やゼロデイ攻撃の検出精度を向上させられるか？
• RQ4 特定のアプリケーションカテゴリは、そのネットワーク行動パターンによって区別可能か？
• RQ5 ネットワークトラフィックのみに依存して、隠された悪意あるペイロードを埋め込んだ改ざんアプリを検出できるか？

主な発見

• 異なるモバイルアプリケーションは、カテゴリ分類が可能な一意で識別可能なネットワークトラフィックパターンを示す。
• 本システムは、正常なアプリケーション行動からのさまざまなレベルの行動的逸脱を正確に検出できる。
• モバイルデバイス上でのローカル学習は実現可能であり、最小限のパフォーマンスオーバーヘッドを伴うため、リアルタイム検出が実用的である。
• 共同モデルは、個々のユーザー行動では見えない異常を特定することで、検出を強化する。
• 異常なネットワーク通信を観察することで、隠されたマルウェアを内蔵した改ざんアプリケーションを効果的に検出できた。
• 検証結果から、ネットワーク行動そのものだけで悪意ある活動の効果的検出が可能であることが確認された。