[論文レビュー] Leveraging Machine Learning for Ransomware Detection

Nanda Rani, Sunita Dhavale|arXiv (Cornell University)|Jun 4, 2022

Advanced Malware Detection Techniques被引用数 9

ひとこと要約

本論文では、Cuckoo Sandboxから抽出した静的および動的分析の特徴を活用して、実行可能ファイルの動作分析に基づく機械学習ベースのランサムウェア検出システムを提案している。XGBoostおよびロジスティック回帰モデルは98.21%の正確性を達成し、XGBoostは99%の再現率を示しており、ゼロデイ環境下でのランサムウェア行動の同定において優れた性能を示している。

ABSTRACT

The current pandemic situation has increased cyber-attacks drastically worldwide. The attackers are using malware like trojans, spyware, rootkits, worms, ransomware heavily. Ransomware is the most notorious malware, yet we did not have any defensive mechanism to prevent or detect a zero-day attack. Most defensive products in the industry rely on either signature-based mechanisms or traffic-based anomalies detection. Therefore, researchers are adopting machine learning and deep learning to develop a behaviour-based mechanism for detecting malware. Though we have some hybrid mechanisms that perform static and dynamic analysis of executable for detection, we have not any full proof detection proof of concept, which can be used to develop a full proof product specific to ransomware. In this work, we have developed a proof of concept for ransomware detection using machine learning models. We have done detailed analysis and compared efficiency between several machine learning models like decision tree, random forest, KNN, SVM, XGBoost and Logistic Regression. We obtained 98.21% accuracy and evaluated various metrics like precision, recall, TP, TN, FP, and FN.

研究の動機と目的

• 署名ベースおよびトラフィックベースの手法の制限を克服する、動作ベースの機械学習駆動型ランサムウェア検出システムの開発。
• 本物の実行可能ファイルの動作データを用いて、複数の教師あり学習モデルのランサムウェア検出性能を評価・比較すること。
• EDRやSIEMのような企業セキュリティフレームワークに統合可能なプロトタイプシステムの構築。
• ファイル操作、レジストリ変更、プロセス活動などのシステムレベルの動作を分析することで、ゼロデイランサムウェアの検出課題に対処すること。
• ELK（Elasticsearch、Logstash、Kibana）のようなオープンソースのログ収集・保存・可視化スタックと統合することで、スケーラブルな展開を可能にすること。

提案手法

• 学習およびテスト用にランサムウェアおよび健全な（グッドウェア）実行可能ファイルのサンプルを収集した。
• Cuckoo Sandboxですべてのサンプルを実行し、ファイル操作、レジストリ変更、ネットワーク活動を含む詳細なシステムレベルの動作をキャプチャした。
• sandboxログから122の行動特徴（例：ファイル書き込み回数、レジストリキー作成数、プロセス起動数）を抽出した。
• 決定木、ランダムフォレスト、K近傍法、SVM、XGBoost、ロジスティック回帰の6つの機械学習モデルを訓練および評価した。
• 正確性、適合率、再現率、および混同行列の要素（TP、TN、FP、FN）を含む標準的な評価指標を用いて、モデルの性能を比較した。
• 訓練済みモデルをEDRおよびSIEMシステムと統合する手法を提案し、ELKスタックを用いてログのインジェスト、保存、可視化の実現可能性を示した。

実験結果

リサーチクエスチョン

• RQ1 sandbox実行から抽出した行動特徴に基づき、どの機械学習モデルがランサムウェア検出において最高の正確性を達成するか？
• RQ2 ランサムウェアと健全な実行可能ファイルを区別する際、異なるモデルは適合率および再現率においてどのように性能を発揮するか？
• RQ3 署名やネットワークの異常を前提としない行動ベースの機械学習モデルは、事前に知られていないシグネチャを有するゼロデイランサムウェアバージョンを効果的に検出できるか？
• RQ4 sandboxログからの特徴工学が、モデルの一般化能力および検出の頑健性に与える影響は何か？
• RQ5 訓練済みの機械学習モデルは、EDR、SIEM、またはELKのような既存の企業セキュリティインfraストラクチャにどのように統合され、リアルタイム監視が可能になるか？

主な発見

• XGBoostおよびロジスティック回帰モデルが98.21%の最高正確性を達成し、他のモデルよりも検出性能および一般化能力に優れた結果を示した。
• XGBoostは99%の再現率を達成しており、188個の真陽性のうちわずか2個の偽陰性に留まり、実際のランサムウェアサンプルの99%を正しく同定した。
• XGBoostを用いることで96%の適合率を達成し、予測でランサムウェアとされた96%が正しく特定されたため、偽陽性の数を最小限に抑えた。
• SVMおよびランダムフォレストは、それぞれ96.42%および96.02%の正確性を示したが、XGBoostおよびロジスティック回帰に劣った。
• 混同行列の結果から、XGBoostは188個の真陽性、306個の真陰性、7個の偽陽性、わずか2個の偽陰性という最良のバランスを示した。
• 本研究では、sandbox実行ログからの行動ベースの機械学習検出が、ゼロデイ環境下でも実用的かつ効果的な手法であることが示された。