[論文レビュー] HeNet: A Deep Learning Approach on Intel$^\circledR$ Processor Trace for Effective Exploit Detection

Li Chen, Salmin Sultana+1 more|arXiv (Cornell University)|Jan 8, 2018

Advanced Malware Detection Techniques参考文献 17被引用数 4

ひとこと要約

HeNetは、Intel® Processor Trace（Intel® PT）を用いて低レベルの制御フロー・トレースを時系列画像に変換する階層的ディープラーニングモデルであり、マルウェア検出に用いられる。これらの画像に対して転移学習を適用し、トレースセグメント間で予測をアンサンブル化することで、Adobe® Readerに対するROP攻撃の検出において100％の正確性と0％の偽陽性率を達成した。従来の機械学習手法を上回り、動的実行トレースにおける敵対的摂動に対しても頑健であることが示された。

ABSTRACT

This paper presents HeNet, a hierarchical ensemble neural network, applied to classify hardware-generated control flow traces for malware detection. Deep learning-based malware detection has so far focused on analyzing executable files and runtime API calls. Static code analysis approaches face challenges due to obfuscated code and adversarial perturbations. Behavioral data collected during execution is more difficult to obfuscate but recent research has shown successful attacks against API call based malware classifiers. We investigate control flow based characterization of a program execution to build robust deep learning malware classifiers. HeNet consists of a low-level behavior model and a top-level ensemble model. The low-level model is a per-application behavior model, trained via transfer learning on a time-series of images generated from control flow trace of an execution. We use Intel$^\circledR$ Processor Trace enabled processor for low overhead execution tracing and design a lightweight image conversion and segmentation of the control flow trace. The top-level ensemble model aggregates the behavior classification of all the trace segments and detects an attack. The use of hardware trace adds portability to our system and the use of deep learning eliminates the manual effort of feature engineering. We evaluate HeNet against real-world exploitations of PDF readers. HeNet achieves 100\% accuracy and 0\% false positive on test set, and higher classification accuracy compared to classical machine learning algorithms.

研究の動機と目的

• 静的およびAPIベースの動的マルウェア検出の限界を解消する。これらはオブスカリゼーションや敵対的入力に対して脆弱である。
• ハードウェアが生成する制御フローパケットを活用することで、より頑健な、ポータブルでスケーラブルなマルウェア検出システムを構築すること。
• 低レベルの制御フローパケットをディープラーニングモデルの入力として使用することで、手動による特徴工学を排除すること。
• 画像に変換された制御フローパケットに対して階層的アンサンブル学習を適用し、検出正確性を向上させ、偽陽性を低減すること。
• 制御フローパターンの摂動を分析することで、モデルの敵対的攻撃に対する耐性を評価すること。

提案手法

• Intel® PTが生成する制御フローパケットを、命令実行パスを表す2次元ピクセル画像のシーケンスに変換する。
• 制御フローパケットから得られる高解像度画像シーケンスを用いて、転移学習により低レベルのディープニューラルネットワークを訓練し、アプリケーション固有の動作をモデル化する。
• すべてのトレースセグメントにおける予測を集約し、悪意ある実行を示す異常を検出するために、上位レベルのアンサンブルモデルを用いる。
• 高解像度および低解像度モデルの凸結合を適用し、正確性と偽陽性率を最適化する。ハイパーパrameter αは最適なパフォーマンスを得るために調整される。
• 間接的および条件付きジャンプの詳細なトレースを活用し、通常のプログラム動作からの微細な逸脱を捉える。
• 画像シーケンスを学習したResNetベースのアーキテクチャを用い、健全な対悪意ある制御フローパターンを分類する。

実験結果

リサーチクエスチョン

• RQ1 Intel® PTが生成する制御フローパケットは、ディープラーニングベースのマルウェア分類に適した画像表現に効果的に変換可能か？
• RQ2 転移学習された動作モデルを組み合わせた階層的アンサンブルモデルは、従来の機械学習手法と比較して検出正確性を向上させ、偽陽性を低減できるか？
• RQ3 アプリケーションの機能を保ったまま実行パスを変更する制御フローの敵対的摂動に対して、HeNetモデルはどれほど頑健か？
• RQ4 ハードウェアベースのトレーシングを活用することで、異なるオペレーティングシステムやハードウェアプラットフォーム間でマルウェア検出システムのポータビリティとスケーラビリティが向上するか？
• RQ5 低解像度および高解像度モデルのアンサンブルにおいて、モデル解像度とパフォーマンスの最適なトレードオフは何か？

主な発見

• HeNetは、Adobe® Readerを標的とした実世界のROP攻撃テストセットにおいて、100％の検出正確性と0％の偽陽性率を達成した。
• 凸結合（α = 0.5）を用いたアンサンブルモデルは、98.31％の正確性と0.29％の偽陽性率を達成し、高解像度および低解像度モデル単体よりも優れた性能を示した。
• 高解像度モデル（224×224×3）は98.1％の正確性と0.73％の偽陽性率を達成した。一方、低解像度モデル（28×28×3）は97.6％の正確性と0.22％の偽陽性率を達成した。
• 転移学習により、低レベルの動作モデルの収束が迅速化され、10エポック以内に学習が安定した。
• OSやソフトウェアスタックに依存しないハードウェアレベルの制御フローパケットの使用のおかげで、高いポータビリティと拡張性を示した。
• 微細な動作モデリングにより、検出されないまま悪意あるジャンプを挿入することが困難であるため、敵対的制御フローマニピュレーションに対して強い耐性を示した。