[論文レビュー] Learning Fast and Slow: PROPEDEUTICA for Real-time Malware Detection

Ruimin Sun, Xiaoyong Yuan+6 more|arXiv (Cornell University)|Dec 4, 2017

Advanced Malware Detection Techniques参考文献 93被引用数 12

ひとこと要約

Propedeuticaは、高速な従来の機械学習（ML）を初期スクリーニングに用い、境界に近いケースにのみディープラーニング（DL）を適用する二段階のマルウェア検出フレームワークを提案する。CPU上で94.34%の精度と0.1秒未満の検出時間を達成した。新規のDeepMalwareモデルは、マルチストリーム入力とResNextブロックを活用し、空間的・時間的特徴を捉えることで、精度を向上させつつリアルタイム性能を維持した。

ABSTRACT

Existing malware detectors on safety-critical devices have difficulties in runtime detection due to the performance overhead. In this paper, we introduce PROPEDEUTICA, a framework for efficient and effective real-time malware detection, leveraging the best of conventional machine learning (ML) and deep learning (DL) techniques. In PROPEDEUTICA, all software start execution are considered as benign and monitored by a conventional ML classifier for fast detection. If the software receives a borderline classification from the ML detector (e.g. the software is 50% likely to be benign and 50% likely to be malicious), the software will be transferred to a more accurate, yet performance demanding DL detector. To address spatial-temporal dynamics and software execution heterogeneity, we introduce a novel DL architecture (DEEPMALWARE) for PROPEDEUTICA with multi-stream inputs. We evaluated PROPEDEUTICA with 9,115 malware samples and 1,338 benign software from various categories for the Windows OS. With a borderline interval of [30%-70%], PROPEDEUTICA achieves an accuracy of 94.34% and a false-positive rate of 8.75%, with 41.45% of the samples moved for DEEPMALWARE analysis. Even using only CPU, PROPEDEUTICA can detect malware within less than 0.1 seconds.

研究の動機と目的

• リアルタイムのマルウェア検出における性能と精度のトレードオフを解消するため、高速なMLと高精度なDL手法を組み合わせること。
• 現代の良性および悪意あるソフトウェアの行動の複雑さと多様性によって引き起こされる誤検出率の低減。
• 最小限のパフォーマンスオーバーヘッドで、安全が求められるシステム上でもリアルタイム検出を可能にすること。
• システムコールシーケンスにおける長期的および空間的に局所的な特徴を捉えることが可能なディープラーニングモデルの開発。
• 不確実なサンプルを高精度なDL分析に動的にルーティングできるスケーラブルでマルチステージの検出パイプラインの提供。

提案手法

• 二段階分類パイプライン：速度を重視した従来のML（例：ランダムフォレスト）による初期スクリーニング、その後に境界に近いケースにDeepMalwareを適用。
• 両方のMLおよびDL段階の入力特徴として、システムコールのスライディングウィンドウの使用。
• プロセス全体およびシステム全体のシステムコールダイナミクスをモデル化するためのマルチストリーム入力の設計。
• 空間的に局所的なパターンを捉えるためにResNextブロックを統合し、長期的な時間的依存関係をモデル化するためRNNを組み込む。
• 境界分類は確率区間[30%-70%]として定義され、これによりDL分析がトリガーされる。
• 多様なWindowsアプリケーションカテゴリから得た9,115個のマルウェアおよび1,338個の良性ソフトウェアサンプルを用いた評価。

実験結果

リサーチクエスチョン

• RQ1 ハイブリッドなML-DLフレームワークは、リアルタイムのマルウェア検出において、0.1秒未満の検出時間を維持しながらも、高い精度を達成できるか？
• RQ2 マルチステージ分類アプローチは、単一ステージのMLまたはDLモデルと比較して、誤検出の低減にどの程度効果的か？
• RQ3 DeepMalwareは、システムコールシーケンスにおける複雑な空間的・時間的特徴を、既存のDLモデルよりもどの程度効果的に捉えられるか？
• RQ4 精度とパフォーマンスのバランスを最適化するために、ディープラーニング分析をトリガーする最適な閾値区間は何か？
• RQ5 提案されたフレームワークは、リアルタイム応答性を損なわずにCPU上でも効率的にデプロイ可能か？

主な発見

• Propedeuticaは、[30%-70%]の境界閾値を用いて、94.34%の検出精度と8.75%の誤検出率を達成した。
• DeepMalware分析を必要としたサンプルはわずか41.45%にとどまり、システム上のパフォーマンス負荷を顕著に低減した。
• 同じデータセット上でDeepMalwareは97.03%の精度と2.43%の誤検出率を達成し、ベースラインのDL手法を上回った。
• CPU上でも平均検出時間が0.1秒未満であったため、リアルタイムデプロイが現実可能となった。
• 高速なMLと高精度なDLを組み合わせることで、誤検出を低減しつつ低遅延を維持できることがフレームワークによって実証された。
• DeepMalwareのマルチストリームおよびResNext強化アーキテクチャは、システムコールシーケンスにおける短期的および長期的行動パターンを効果的に捉えていた。