[論文レビュー] SMART: Semantic Malware Attribute Relevance Tagging.

Felipe N. Ducau, Ethan M. Rudd+3 more|arXiv (Cornell University)|May 15, 2019

Advanced Malware Detection Techniques被引用数 9

ひとこと要約

本稿では、悪性ファイルの類似行動をもつもの同士が近接してクラスタリングされる表現空間を学習することで、人間が解釈可能な意味的タグを生成する深層学習モデルSMARTを提案する。本モデルは、1%の誤検出率（1%の誤検出率）で、正しく説明が付与されたマルウェアを95%の精度でタグ付けでき、動的実行トレースを用いて、元の特徴ベクトルと比較して類似性インデックスサイズを32倍小さくした。

ABSTRACT

With the rapid proliferation and increased sophistication of malicious software (malware), detection methods no longer rely only on manually generated signatures but have also incorporated more general approaches like machine learning detection. Although powerful for conviction of malicious artifacts, these methods do not produce any further information about the type of threat that has been detected neither allows for identifying relationships between malware samples. In this work, we address the information gap between machine learning and signature-based detection methods by learning a representation space for malware samples in which files with similar malicious behaviors appear close to each other. We do so by introducing a deep learning based tagging model trained to generate human-interpretable semantic descriptions of malicious software, which, at the same time provides potentially more useful and flexible information than malware family names. We show that the malware descriptions generated with the proposed approach correctly identify more than 95% of eleven possible tag descriptions for a given sample, at a deployable false positive rate of 1% per tag. Furthermore, we use the learned representation space to introduce a similarity index between malware files, and empirically demonstrate using dynamic traces from files' execution, that is not only more effective at identifying samples from the same families, but also 32 times smaller than those based on raw feature vectors.

研究の動機と目的

• 機械学習ベースのマルウェア検出とシグネチャベースの手法との間の情報ギャップを埋めるために、解釈可能な脅威特性記述を可能にする。
• 従来のマルウェアファミリー名の限界を克服し、悪性動作のより豊富で意味的な記述を生成する。
• 類似した行動を示すマルウェアサンプルが意味的に近接するような、コンactで意味のある表現空間を学習する。
• 元の特徴ベクトルに代わる、ファミリー関係の特定にさらに効果的で、かつはるかに小さい類似性インデックスを、マルウェアファイル間で構築する。

提案手法

• 動的実行トレースに基づいて、マルウェアの動作を人間が読み取り可能な意味的記述（タグ）を生成するための深層学習モデルを訓練する。
• 類似した悪性動作を示すマルウェアサンプルが近接して埋め込まれるような低次元表現空間を学習する。
• 学習済み表現を用いて、マルウェアファイル間の類似性インデックスを計算し、元の特徴ベクトルに置き換える。
• 誤検出を最小限に抑えつつ、事前に定義されたタグカテゴリ（例：データ漏洩、恒久的保持）の正しく特定する能力を最大化するように、タグ付けモデルを最適化する。
• マルウェア実行からの動的トレースを活用し、表現学習および類似性計算に使用する行動特徴を抽出する。
• 誤検出率を制御可能な多ラベル分類フレームワークを用いて、マルウェアサンプルを分類・タグ付けする。

実験結果

リサーチクエスチョン

• RQ1 深層学習モデルは、実際の悪性動作を反映した正確で人間が解釈可能な意味的タグを生成できるか？
• RQ2 学習済み表現空間は、元の特徴ベースの類似性と比較して、マルウェアファミリーの特定にどの程度効果的か？
• RQ3 学習済み表現に基づく類似性インデックスのサイズは、元の特徴ベクトルに基づくものと比べてどの程度小さいか？
• RQ4 特定の悪性動作を複数の事前に定義されたタグで識別する際、タグ付けモデルの誤検出率はどの程度か？

主な発見

• SMARTモデルは、与えられたマルウェアサンプルに対して、11個の事前に定義された悪性動作タグのうち95%以上を正しく特定する。
• モデルは1タグあたり1%の運用可能な誤検出率を維持しており、実運用環境での高い信頼性を保証する。
• 学習済み表現に基づく類似性インデックスは、元の特徴ベクトルに基づくものと比較して32倍小さい。
• 学習済み表現空間は、動的実行トレースを用いた場合に、同じファミリーに属するマルウェアサンプルの特定効果を顕著に向上させる。
• 生成された意味的タグは、従来のマルウェアファミリー名よりも柔軟で情報量が多い記述を提供する。
• 本手法は、ブラックボックスの機械学習検出と人間が読み取れる脅威分析とのギャップを効果的に埋め合わせた。