[論文レビュー] Malicious Behavior Detection using Windows Audit Logs

Konstantin Berlin, David Slater+1 more|arXiv (Cornell University)|Jun 13, 2015

Network Security and Intrusion Detection参考文献 11被引用数 5

ひとこと要約

本稿では、追加のソフトウェアを導入せずに、ネイティブな Windows オペレーションログを用いて悪意ある行動を検出する低コストでエージェントレスなマルウェア検出システムを提案する。行動特徴を抽出し、ロジスティック回帰を適用することで、マルウェアの 83% を検出することができ、偽陽性率は 0.1% に抑えられ、商用のアンチウイルスソリューションが検出できない 78% のマルウェアを同定した。

ABSTRACT

As antivirus and network intrusion detection systems have increasingly proven insufficient to detect advanced threats, large security operations centers have moved to deploy endpoint-based sensors that provide deeper visibility into low-level events across their enterprises. Unfortunately, for many organizations in government and industry, the installation, maintenance, and resource requirements of these newer solutions pose barriers to adoption and are perceived as risks to organizations' missions. To mitigate this problem we investigated the utility of agentless detection of malicious endpoint behavior, using only the standard build-in Windows audit logging facility as our signal. We found that Windows audit logs, while emitting manageable sized data streams on the endpoints, provide enough information to allow robust detection of malicious behavior. Audit logs provide an effective, low-cost alternative to deploying additional expensive agent-based breach detection systems in many government and industrial settings, and can be used to detect, in our tests, 83% percent of malware samples with a 0.1% false positive rate. They can also supplement already existing host signature-based antivirus solutions, like Kaspersky, Symantec, and McAfee, detecting, in our testing environment, 78% of malware missed by those antivirus systems.

研究の動機と目的

• エージェントの追加導入なしに、ネイティブな Windows オペレーションログを悪意ある行動の検出に用いる可能性を評価すること。
• 機械学習に適した解釈可能な特徴に変換可能な、スケーラブルで計算効率の良いオペレーションログの変換手法を開発すること。
• 従来のシグネチャベースのアンチウイルスソリューションを回避する高度なマルウェアの検出を改善すること。
• 既知のシグネチャに依存しない状態で、オペレーションログに基づく検出がマルウェアの行動パターンを特定できることを検証すること。
• 既存の企業用 SIEM インfra に最小限の負荷で統合可能であり、低コストで展開可能なアプローチであることを実証すること。

提案手法

• 標準的な企業管理ツールを用いて、シミュレーテッド企業環境から Windows オペレーションログを収集した。
• ファイル実行、レジストリへの書き込み、DLL のロードパターンなどの行動特徴に、オペレーションログイベントをマッピングした。
• 特徴の頻度と重みに基づき、ログを悪意あるものか良性のものか分類するため、ロジスティック回帰（LR）を適用した。
• 特徴の重要度分析を用いて、編集済みファイルの実行や、アンチウイルスログファイルへの書き込みといった高信号行動を同定した。
• 検出率と偽陽性率の最適化を図るため、既知のマルウェアサンプルと良性のシステム操作のデータセットを用いて分類器を学習させた。
• 受信者操作特性曲線（ROC）と、偽陽性率（FPR）が低い領域における真正陽性率（TPR）推定値を用いて、性能を評価した。

実験結果

リサーチクエスチョン

• RQ1 ネイティブな Windows オペレーションログは、エージェントの導入なしに、悪意あるソフトウェアを検出するのに十分な行動信号を提供できるか？
• RQ2 オペレーションログ特徴に基づく機械学習モデルは、従来のアンチウイルスシグネチャを回避するマルウェアをどの程度検出できるか？
• RQ3 どの特定のオペレーションログイベントが悪意ある行動を最も示唆しているか？また、そのようなイベントはモデルによって自動的に同定可能か？
• RQ4 偽陽性率と検出率の観点から、オペレーションログに基づく検出手法は商用のアンチウイルスソリューションと比較してどの程度の性能を示すか？
• RQ5 このアプローチは、既存の企業用 SIEM システムに最小限のオーバーヘッドでスケーラブルかつ統合可能か？

主な発見

• ロジスティック回帰モデルは、マルウェアサンプルの 83% を検出することができ、偽陽性率は 0.1% に抑えられ、高い正確性と再現率を示した。
• 本システムは、Kaspersky や Symantec、McAfee といった商用のアンチウイルスソリューションが完全に検出できなかったマルウェアの 78% を検出できた。
• 最も重要な3つの特徴である「編集済みファイルの実行」「Windows Defender の検出ログへの書き込み」「msvbvm60.dll への書き込み」は、直接解釈可能で、悪意ある行動を示唆するものであった。
• 特徴の重要度分析から、モデルは良性の行動パターンよりも悪意ある行動パターンに依存していることが判明し、異常検出に焦点を当てていることが確認された。
• 本アプローチはスケーラブルであり、追加のエージェントやソフトウェアのインストールなしに、既存の企業用 SIEM インfra を用いて展開可能である。
• 偽陽性率が低い領域での検出率の低減や、ゆっくり進行するマルウェアの検出における課題といった制限要因は存在するが、本手法は軽量で補完的な防御層として強く有望である。