[論文レビュー] I-MAD: A Novel Interpretable Malware Detector Using Hierarchical Transformer.

Miles Q. Li, Benjamin C. M. Fung+2 more|arXiv (Cornell University)|Sep 15, 2019

Advanced Malware Detection Techniques参考文献 24被引用数 8

ひとこと要約

I-MADは、基本ブロック、関数、実行可能ファイルの3段階の抽象化レベルでアセンブリコードを分析する階層的トランスフォーマーを用いた、解釈可能なマルウェア検出手法である。静的マルウェア検出において最先端の性能を達成するとともに、独自のフィードフォワードニューラルネットワークにより特徴レベルでの解釈を提供する。従来の手法の限界を克服し、完全な意味的意味をモデル化し、透明で実行可能な説明を提供する。

ABSTRACT

Malware imposes tremendous threats to computer users nowadays. Since signature-based malware detection methods are neither effective nor efficient to identify new malware, many machine learning-based methods have been proposed. A common disadvantage of existing machine learning methods is that they are not based on understanding the full semantic meaning of assembly code of an executable. They rather use short assembly code fragments, because assembly code is usually too long to be modelled in its entirety. Another disadvantage is that those methods have either inferior performance or bad interpretability. To overcome these challenges, we propose an Interpretable MAware Detector (I-MAD), which achieves state-of-the-art performance on static malware detection with excellent interpretability. It integrates a hierarchical Transformer network that can understand assembly code at the basic block, function, and executable level. It also integrates our novel interpretable feed-forward neural network to provide interpretations for its detection results by pointing out the impact of each feature with respect to the prediction. Experiment results show that our model significantly outperforms previous state-of-the-art static malware detection models and presents meaningful interpretations.

研究の動機と目的

• 既存の機械学習ベースのマルウェア検出手法における解釈性の低さと意味理解の限界を是正すること。
• 短いアセンブリ断片に依存する問題を克服し、複数の抽象化レベルで完全なアセンブリコードをモデル化すること。
• 高い性能を達成するとともに、予測に対して意味のある特徴レベルの説明を提供する検出モデルを開発すること。
• 階層的表現学習と解釈可能なディープラーニングを統合し、マルウェア分析における信頼性と使いやすさを向上させること。

提案手法

• I-MADは、アセンブリコードを3段階のレベル（基本ブロック、関数、完全な実行可能ファイル）で符号化する階層的トランスフォーマー・アーキテクチャを採用する。
• マルチヘッド自己注意機構を用いて、アセンブリ命令間の長距離依存関係および意味的関係を捉える。
• 予測結果に対する各入力特徴の寄与度を定量化する、新しい解釈可能なフィードフォワードニューラルネットワークを統合する。
• モデルは、下位レベルから上位レベルへと表現を統合する階層的符号化パイプラインを通じて、生の逆アセンブルコードを処理する。
• 予測スコアを個々の特徴に帰属させることで解釈性を達成し、悪意あるコードパターンの特定を可能にする。
• 注意に基づく監視を用いた交差エントロピー損失を用いて、静的マルウェアデータセット上でエンドツーエンドに学習する。

実験結果

リサーチクエスチョン

• RQ1 階層的トランスフォーマー・モデルは、マルウェア検出において完全なアセンブリコードの意味的意味を効果的に捉えることができるか？
• RQ2 解釈可能なフィードフォワードネットワークを統合することで、性能を損なうことなくモデルの透明性はどのように向上するか？
• RQ3 I-MADは、正確性と耐障害性において、既存の最先端の静的マルウェア検出器をどの程度上回るか？
• RQ4 モデルは、人間のアナリストが悪意ある行動を理解するのと整合する意味のある特徴レベルの説明を提供できるか？

主な発見

• I-MADは、静的マルウェア検出ベンチマークで最先端の性能を達成し、以前のSOTAモデルを顕著に上回った。
• 特定のアセンブリ特徴が予測意思決定に最も寄与していることを特定することで、優れた解釈性を示した。
• 階層的アテンション機構により、基本ブロック、関数、完全な実行可能ファイルの各レベルでコードの意味的理解が向上した。
• 解釈可能なフィードフォワードネットワークの統合により、特徴の重要度の一貫性があり意味のある帰属が可能になった。
• 長く複雑な実行可能ファイルを分析しても、高い検出正確性を維持した。