[論文レビュー] Lightweight Classification of IoT Malware based on Image Recognition

Jiawei Su, Danilo Vargas+4 more|arXiv (Cornell University)|Feb 11, 2018

Advanced Malware Detection Techniques参考文献 16被引用数 34

ひとこと要約

本稿では、IoTマルウェアバイナリをグレースケール画像に変換することで、2層の畳み込みニューラルネットワーク（CNN）を用いて検出する、軽量なCNNベースのマルウェア分類システムを提案する。リソース制限のあるIoTデバイスに実装可能なことが示され、DDoSマルウェアと良性ソフトウェアを区別する分類で94.0%の精度を達成し、良性、Mirai、Gafgytの3ファミリを分類する際には81.8%の精度を示した。

ABSTRACT

The Internet of Things (IoT) is an extension of the traditional Internet, which allows a very large number of smart devices, such as home appliances, network cameras, sensors and controllers to connect to one another to share information and improve user experiences. Current IoT devices are typically micro-computers for domain-specific computations rather than traditional functionspecific embedded devices. Therefore, many existing attacks, targeted at traditional computers connected to the Internet, may also be directed at IoT devices. For example, DDoS attacks have become very common in IoT environments, as these environments currently lack basic security monitoring and protection mechanisms, as shown by the recent Mirai and Brickerbot IoT botnets. In this paper, we propose a novel light-weight approach for detecting DDos malware in IoT environments.We firstly extract one-channel gray-scale images converted from binaries, and then utilize a lightweight convolutional neural network for classifying IoT malware families. The experimental results show that the proposed system can achieve 94.0% accuracy for the classification of goodware and DDoS malware, and 81.8% accuracy for the classification of goodware and two main malware families.

研究の動機と目的

• IoTデバイスの計算リソースが限られているため、ボットネットベースのDDoS攻撃に対して脆弱であるが、軽量でデバイス内でのマルウェア検出ソリューションが不足している問題に対処すること。
• 実際のIoTハニーポットから収集した最新のMiraiおよびGafgytマルウェアサンプルを用いて、実世界のIoTマルウェアサンプルの不足を補うシステムを開発すること。
• バイナリの画像表現と最小限のディープラーニングモデルを活用することで、IoTデバイス上でローカルかつリアルタイムにマルウェア分類を可能にすること。
• 複雑な前処理や大規模なモデルを必要とせず、浅い軽量CNNでも高い検出精度を達成できることを示すこと。
• より詳細なファミリ分類はクラウドベースのシステムに委ねる前提で、デバイス上で動作可能な最初の段階の分類器を提供すること。

提案手法

• バイナリバイトをピクセル強度として解釈することで、生のIoTマルウェアおよび良性アプリケーションバイナリを単一チャネルのグレースケール画像に変換する。
• これらの画像表現を用いて、2層の畳み込みニューラルネットワーク（CNN）を訓練し、マルウェアファミリおよび良性ソフトウェアを分類する。
• 計算コストを低減し、IoTデバイスでの実装可能性を確保するため、最小限の全結合層と低次元入力を備えた軽量アーキテクチャを採用する。
• 畳み込み、ReLU活性化関数、プーリングなどの標準的なCNN演算を用いて、バイナリ形式の画像から空間的特徴を抽出する。
• パrameter数の最小化と複雑な演算の回避により、推論効率を最適化し、処理能力が制限されたデバイスへのデプロイを可能にする。
• 専用のIoTハニーポットを用いて収集した、実世界のIoTマルウェア（Mirai、Gafgyt）および良性バイナリから構成されるカスタムデータセットを、システムの訓練および評価に使用する。

実験結果

リサーチクエスチョン

• RQ1 リソース制限のあるデバイス上で、バイナリファイルの画像表現を用いた軽量なCNNベースのシステムが、IoTマルウェアを効果的に分類できるか。
• RQ2 提案手法の画像ベースマルウェア分類システムの性能は、従来の手法と比較して、精度およびモデルサイズの面でどのように異なるか。
• RQ3 MiraiやGafgytなどのIoTマルウェアファミリが、バイナリから画像に変換した際の視覚的類似性を示す程度は、分類精度にどの程度影響を与えるか。
• RQ4 外部クラウド処理に依存せず、小型で効率的なCNNをデバイス内にデプロイすることが可能か。
• RQ5 従来の機械学習分類器（例：SVM、KNN）と比較して、本手法はIoT環境における計算オーバーヘッドとスケーラビリティの面でどのように優れているか。

主な発見

• 提案システムは、2クラス分類タスク（良性ソフトウェア vs DDoSマルウェア）において94.0%の精度を達成した。
• 3クラス分類タスク（良性ソフトウェア、Mirai、Gafgytマルウェアファミリ）においては81.8%の精度に達した。
• 3クラス設定における誤分類されたすべてのマルウェアサンプルはGafgytファミリに属しており、Gafgytサンプルの6.67%が誤って良性としてラベル付けされた。
• Miraiサンプルは良性として誤分類された例が一切なく、これはMiraiバイナリがGafgytバイナリよりも良性ソフトウェアと視覚的に明確に異なることを示している。
• 極めて単純なアーキテクチャ（2層の畳み込み層と少数のパラメータ）でありながらも、モデルの性能は安定しており、エッジデプロイに適している。
• 特に、類似のタスクで使用されるVGGのような深層ネットワークと比較して、はるかに小型で効率的なモデルを用いながら、精度で同等または上回っている。