[論文レビュー] HashTran-DNN: A Framework for Enhancing Robustness of Deep Neural Networks against Adversarial Malware Samples

Deqiang Li, Ramesh Baral+4 more|arXiv (Cornell University)|Sep 18, 2018

Adversarial Robustness in Machine Learning参考文献 40被引用数 19

ひとこと要約

HashTran-DNN は、局所性を保つハッシュ関数とノイズ除去オートエンコーダー（DAE）を組み合わせることで、敵対的マルウェアに対して深層ニューラルネットワーク（DNN）の耐性を向上させる画期的なフレームワークである。この手法は、Androidマルウェアにおける4つの主要な敵対的攻撃—JSMA、GD-KDE、CW、Mimicry—に対して、標準的なDNNや既存の防御手法（RFNや反復的敵対的訓練）を上回る性能を発揮し、特に大規模な摂動攻撃に対し優れた効果を示している。

ABSTRACT

Adversarial machine learning in the context of image processing and related applications has received a large amount of attention. However, adversarial machine learning, especially adversarial deep learning, in the context of malware detection has received much less attention despite its apparent importance. In this paper, we present a framework for enhancing the robustness of Deep Neural Networks (DNNs) against adversarial malware samples, dubbed Hashing Transformation Deep Neural Networks} (HashTran-DNN). The core idea is to use hash functions with a certain locality-preserving property to transform samples to enhance the robustness of DNNs in malware classification. The framework further uses a Denoising Auto-Encoder (DAE) regularizer to reconstruct the hash representations of samples, making the resulting DNN classifiers capable of attaining the locality information in the latent space. We experiment with two concrete instantiations of the HashTran-DNN framework to classify Android malware. Experimental results show that four known attacks can render standard DNNs useless in classifying Android malware, that known defenses can at most defend three of the four attacks, and that HashTran-DNN can effectively defend against all of the four attacks.

研究の動機と目的

• 敵対的機械学習におけるマルウェア検出の重要なギャップに対処すること。現行のDNNは敵対的摂動に対して極めて脆弱である。
• 敵対的操作下でもマルウェア表現の意味的局所性を保持する防御フレームワークの開発。
• ハッシュ変換とDAE正則化を統合することでDNNの耐性を高め、分布外の敵対的サンプルを検出・拒否する能力を強化すること。
• 実世界のAndroidマルウェアデータセットを用いた、複数の最先端の敵対的攻撃に対するフレームワークの有効性を実証すること。

提案手法

• マルウェアサンプルをコンactで意味的に安定した表現に変換するために、局所性を保つハッシュ関数（LSHおよびL NH）を適用する。
• 正規化ハミング距離下での {0,1}^n 空間における距離歪みが有界である局所性非線形ハッシュ（LNH）関数を導入する。
• ノイズ除去オートエンコーダー（DAE）を統合し、ハッシュ表現の再構築とDNNの正則化を実現することで、一般化性能と異常検出性能を向上させる。
• ハッシュ符号化された特徴量上でDNNを学習させ、局所構造を保持するとともに、特徴量の摂動に対する耐性を高める。
• DAEを用いて、学習データ分布から大きく離れた敵対的サンプルをフィルタリングし、特に大規模な摂動下でも有効に機能する。
• ハッシュ化とDAEを統合することで、同時に小規模および大規模な摂動を軽減し、構造的不変性とノイズ耐性の両方を活用する。

実験結果

リサーチクエスチョン

• RQ1 局所性を保つハッシュ化は、敵対的マルウェアサンプルに対するDNNの耐性を向上させ得るか？
• RQ2 DAE正則化子は、DNNが分布外の敵対的サンプルを検出・拒否する能力をどの程度向上させ得るか？
• RQ3 HashTran-DNN は、JSMA、GD-KDE、CW、Mimicry といった多様な敵対的攻撃に対して、どの程度効果的に防御できるか？
• RQ4 ハッシュ化とDAEの統合は、RFN や反復的敵対的訓練といった既存の防御手法と比較して、優れた耐性を提供するか？
• RQ5 異なるハッシュ関数設計（LSH 対 LNH）および DAE 結合の影響は、敵対的摂動下での分類精度にどのような影響を及ぼすか？

主な発見

• 標準的な DNN-DAE モデルは、ε=30 の条件下で JSMA、GD-KDE、CW 攻撃により生成された 496 個の敵対的サンプルにさらされると、正答率が 92.09% からほぼ 0% まで著しく低下する。
• LSH-DAE および LNH-DAE を用いた HashTran-DNN は、4 つの攻撃すべてにおいて高い分類正答率を維持しており、大規模な摂動下でも耐性を示している。
• 本フレームワークは、いかなる攻撃に対しても防御に失敗する RFN より優れた性能を示している。
• LNH-DAE を用いた HashTran-DNN は、元の（敵対的でない）テストセットで最高の正答率 92.87% を達成しており、優れた一般化性能を示している。
• DAE コンponent は大規模な摂動を持つ敵対的サンプルを効果的にフィルタリングする一方で、ハッシュ化は小規模で標的の摂動を軽減する。
• ハッシュ化と DAE 正則化の組み合わせにより、DNN の性能がさまざまな摂動レベルにおいて安定化する。これは、単独の DAE や DNN-DAE モデルとは対照的である。