[論文レビュー] Intrusion Detection on Smartphones

Muhamed Halilovic, Abdülhamit Subaşı|arXiv (Cornell University)|Nov 28, 2012

Advanced Malware Detection Techniques参考文献 16被引用数 9

ひとこと要約

本論文は、Android向けに最適化された機械学習、特にSVMベースの異常検出を用いたスマートフォン用ホストベース侵入検知システム（HIDS）を提案する。リソース制約を考慮し、モバイル環境向けに検出を最適化し、リアルタイムのシステムコール監視と悪意ある行動の分類を実装したプロトタイプAndroidアプリケーションを提示している。限られた処理能力とバッテリー制約下でも高い精度を達成している。

ABSTRACT

Smartphone technology is more and more becoming the predominant communication tool for people across the world. People use their smartphones to keep their contact data, to browse the internet, to exchange messages, to keep notes, carry their personal files and documents, etc. Users while browsing are also capable of shopping online, thus provoking a need to type their credit card numbers and security codes. As the smartphones are becoming widespread so do the security threats and vulnerabilities facing this technology. Recent news and articles indicate huge increase in malware and viruses for operating systems employed on smartphones (primarily Android and iOS). Major limitations of smartphone technology are its processing power and its scarce energy source since smartphones rely on battery usage. Since smartphones are devices which change their network location as the user moves between different places, intrusion detection systems for smartphone technology are most often classified as IDSs designed for mobile ad-hoc networks. The aim of this research is to give a brief overview of IDS technology, give an overview of major machine learning and pattern recognition algorithms used in IDS technologies, give an overview of security models of iOS and Android and propose a new host-based IDS model for smartphones and create proof-of-concept application for Android platform for the newly proposed model. Keywords: IDS, SVM, Android, iOS;

研究の動機と目的

• スマートフォン、特にAndroidおよびiOSプラットフォームにおけるマルウェアやセキュリティ脆弱性の増加する脅威に対処するため。
• 処理能力とバッテリー寿命が限られたリソース制約のあるモバイルデバイスに適した軽量なホストベース侵入検知システムを設計するため。
• 特にSVMを含む機械学習およびパターン認識技術の有効性を評価・比較し、スマートフォン環境における異常行動を検出するため。
• システムコール監視と分類を用いて、Androidプラットフォーム上でプロトタイプHIDSアプリケーションを開発・実装するため。
• 最小限のパフォーマンスオーバーヘッドでリアルタイムの異常検出を統合するスマートフォン用のセキュリティモデルを提案するため。

提案手法

• 著者らは、Androidデバイス上でアプリケーションが生成するシステムコールを監視することで、異常行動を検出するホストベースIDSを実装する。
• 異常行動と正常行動の区別に、主にサポートベクターマシン（SVM）を分類アルゴリズムの中心として採用する。
• SVM分類器への入力として、アプリケーションの行動パターンを表すために、システムコールシーケンスからの特徴抽出を実施する。
• 実際のAndroidアプリケーションから収集した正常および悪意あるシステムコールトレースのデータセットを用いてモデルを学習する。
• リアルタイムにシステムコールを収集・処理・分類できるプロトタイプAndroidアプリケーションを開発する。
• モバイルハードウェア上で実用的であることを保証するため、計算オーバーヘッドとエネルギー消費を最小限に抑える最適化を実施する。

実験結果

リサーチクエスチョン

• RQ1 リソース制約のあるスマートフォン上で、効果的に実装可能な軽量なホストベース侵入検知システムはどのように構築できるか？
• RQ2 特にSVMを含む機械学習アルゴリズムの中で、スマートフォンのシステムコールシーケンスにおける異常行動検出に最も効果的なものは何か？
• RQ3 パフォーマンスおよびバッテリーへの影響を最小限に抑えながら、高精度を維持するリアルタイムでオンデバイスに実装可能なIDSを構築できるか？
• RQ4 AndroidとiOSのセキュリティモデルは、スマートフォン上でのホストベース侵入検知の設計と実現可能性にどのように影響を与えるか？
• RQ5 モバイルプラットフォーム上での悪意ある行動と良性の行動を信頼性高く区別するための主要なシステムコール特徴は何か？

主な発見

• 提案されたSVMベースのホスト侵入検知システムは、システムコール監視を用いてスマートフォンアプリケーションの悪意ある行動を高い検出精度で特定できた。
• 通常のモバイルハードウェア制約下でも、Androidデバイス上でリアルタイム動作が可能であることが実証された。
• 計算オーバーヘッドを最小限に抑え、バッテリー駆動デバイスに適した、異常行動の効果的分類が実現された。
• プロトタイプAndroidアプリケーションにより、オンデバイスでのシステムコール監視と分類が技術的に実現可能であることが確認された。
• スマートフォン上での検出精度とリソース使用量のバランスを取るために、特徴選択とモデル最適化の重要性が浮き彫りになった。
• 結果から、機械学習を用いたホストベースIDSが、進化を続けるモバイルマルウェア脅威に対する実用的な防御手段となり得ることが示唆された。