[論文レビュー] HAWK: Rapid Android Malware Detection through Heterogeneous Graph Attention Networks

Yiming Hei, Renyu Yang+7 more|arXiv (Cornell University)|Aug 17, 2021

Advanced Malware Detection Techniques参考文献 45被引用数 8

ひとこと要約

Hawkは、Androidエントリティおよび行動的関係を異種情報ネットワーク（HIN）としてモデル化する、新しい段階的マルウェア検出フレームワークを提案する。HAWKは、メタパスおよびメタグラフに基づくグラフアテンションネットワーク（MsGATおよび段階的MsGAT++）を活用し、99.2%の精度と平均3.5msの推論時間で、従来手法よりも50倍速いトレーニングを実現する。これにより、未学習のアプリケーションの迅速かつ正確な検出が可能となる。

ABSTRACT

Android is undergoing unprecedented malicious threats daily, but the existing methods for malware detection often fail to cope with evolving camouflage in malware. To address this issue, we present HAWK, a new malware detection framework for evolutionary Android applications. We model Android entities and behavioural relationships as a heterogeneous information network (HIN), exploiting its rich semantic metastructures for specifying implicit higher-order relationships. An incremental learning model is created to handle the applications that manifest dynamically, without the need for re-constructing the whole HIN and the subsequent embedding model. The model can pinpoint rapidly the proximity between a new application and existing in-sample applications and aggregate their numerical embeddings under various semantics. Our experiments examine more than 80,860 malicious and 100,375 benign applications developed over a period of seven years, showing that HAWK achieves the highest detection accuracy against baselines and takes only 3.5ms on average to detect an out-of-sample application, with the accelerated training time of 50x faster than the existing approach.

研究の動機と目的

• 従来の署名ベースおよび特徴ベースの検出手法では検出できない、進化を続けるAndroidマルウェアを、動的でスケーラブルな学習によって検出する課題に対処する。
• 既存の異種情報ネットワーク（HIN）モデルが、完全な再トレーニングがなければ未学習アプリケーションを効率的に処理できないという静的特性を克服する。
• 完全なHINや埋め込みモデルの再構築なしに、新しいAndroidアプリケーションの迅速な検出を可能にする段階的学習メカニズムを構築する。
• HIN内の豊富な意味的メタ構造を活用し、パーミッション、API、クラスなどのAndroidエントリティ間の高次元で隠れた関係を捉える。
• 大規模なAndroidエコシステムにおけるリアルタイム展開を想定し、高い検出精度と低い推論遅延を達成する。

提案手法

• 逆アセンブルされたAPKから7種類のエントリティ（App、パーミッション、パーミッションタイプ、API、クラス、インターフェース、.soファイル）を抽出し、Androidアプリケーションを異種情報ネットワーク（HIN）としてモデル化する。
• エントリティ間の高次元の意味的関係を捉えるために、メタパスおよびメタグラフを定義する。例えば、App–Permission–API–Appのチェーンは行動パターンを反映する。
• 学習可能なアテンション重みを用いて、異なるメタ構造内および間で近隣の埋め込みを集約するMsGAT（マルチセマンティックグラフアテンションネットワーク）を設計する。
• 既存のHIN埋め込みを再利用することで、完全な再トレーニングなしに未学習アプリケーションの効率的な表現学習を可能にする、段階的MsGAT++を開発する。
• グラフアテンション機構を活用し、意味的関連性に基づいて隣接ノードの重要性を動的に重み付けすることで、表現品質を向上させる。
• 学習済みの埋め込みを分類器に統合し、未学習のアプリケーションに対しても誘導的かつスケーラブルで高速な推論を可能にする。

実験結果

リサーチクエスチョン

• RQ1 異種情報ネットワーク（HIN）は、従来の特徴工学の範囲を超えて、Androidエントリティ間の複雑で隠れた関係を効果的にモデル化できるか？
• RQ2 HINベースのモデルは、完全な再トレーニングなしに、未学習のAndroidアプリケーションのリアルタイム検出を可能にする段階的学習に適しているか？
• RQ3 グラフアテンションネットワーク（GAT）は、複数ソースの近隣情報の適応的集約を通じて、HINにおける表現学習をどの程度向上できるか？
• RQ4 提案された段階的学習メカニズムは、大規模なAndroidマルウェア検出において、高い検出精度と低い推論遅延を両立できるか？
• RQ5 obfuscationやrepackaging技術を用いて従来手法を回避する進化系マルウェアの検出において、このフレームワークはどの程度の性能を示すか？

主な発見

• Hawkは、7年間にわたり収集された181,000以上のAndroidアプリ（うち80,860個がマルウェア、100,375個が健全）のデータセット上で99.2%の検出精度を達成し、すべてのベースライン手法を上回った。
• 未学習のアプリケーションを検出する平均推論時間はわずか3.5msであり、高速な展開適合性を示している。
• Hawkは、先行する最先端手法（AiDroid）と比較して、トレーニング時間を50倍短縮した。これは、スケーラビリティと効率性の大幅な向上を示している。
• 段階的MsGAT++モデルにより、既存のHIN埋め込みを再利用することで、新しいアプリケーションの迅速な検出が可能になった。これにより、グラフおよび埋め込みモデルの再構築にかかるコストを回避した。
• メタパスおよびメタグラフの活用により、従来の特徴ベース手法では検出できない高次元の隠れた関係（例：App1–Permission–App2）を捉えることが可能になった。
• 意味的関係を特徴を超えてモデル化できる能力のおかげで、Hawkはobfuscatedやrepackagedなマルウェアに対しても高い耐性を示し、強力な耐障害性を発揮した。