[論文レビュー] Task-Aware Meta Learning-based Siamese Neural Network for Classifying Obfuscated Malware

Jinting Zhu, Julian Jang‐Jaccard+3 more|arXiv (Cornell University)|Oct 26, 2021

Advanced Malware Detection Techniques参考文献 42被引用数 6

ひとこと要約

本論文は、制御フローオブスクリュレーションを施されたマルウェアの分類を向上させるために、エントロピー特徴量とVGG-16ベースの画像特徴量を動的重み生成器を用いて融合する、タスクに適応したメタラーニングベースのシアンプスニューラルネットワークを提案する。このモデルは、少サンプル学習設定下で91%を超える正確性を達成し、ベースラインSNNと比較して誤検出を低減し、ハイブリッド損失関数により特徴量クラスタリングを強化することで優れた性能を示す。

ABSTRACT

Malware authors apply different techniques of control flow obfuscation, in order to create new malware variants to avoid detection. Existing Siamese neural network (SNN)-based malware detection methods fail to correctly classify different malware families when such obfuscated malware samples are present in the training dataset, resulting in high false-positive rates. To address this issue, we propose a novel task-aware few-shot-learning-based Siamese Neural Network that is resilient against the presence of malware variants affected by such control flow obfuscation techniques. Using the average entropy features of each malware family as inputs, in addition to the image features, our model generates the parameters for the feature layers, to more accurately adjust the feature embedding for different malware families, each of which has obfuscated malware variants. In addition, our proposed method can classify malware classes, even if there are only one or a few training samples available. Our model utilizes few-shot learning with the extracted features of a pre-trained network (e.g., VGG-16), to avoid the bias typically associated with a model trained with a limited number of training samples. Our proposed approach is highly effective in recognizing unique malware signatures, thus correctly classifying malware samples that belong to the same malware family, even in the presence of obfuscated malware variants. Our experimental results, validated by N-way on N-shot learning, show that our model is highly effective in classification accuracy, exceeding a rate extgreater 91\%, compared to other similar methods.

研究の動機と目的

• 訓練データに制御フローオブスクリュレーションを施されたマルウェア変種が含まれる場合に、既存のシアンプスニューラルネットワーク（SNN）ベースのマルウェア検出で生じる高い偽陽性率を是正すること。
• 1家族あたり1〜数個のトレーニングサンプルしか利用できないような、少サンプル学習条件下でのマルウェアファミリー分類を改善すること。
• VGG-16からの事前学習済み特徴量を活用することで、限られたトレーニングデータに起因するモデルバイアスを低減すること。
• エントロピーに基づく属性とディープな画像特徴量を組み合わせることで、オブスクリュレーションされた変種の特徴量埋め込みの識別性を向上させ、より良いクラスタリングを実現すること。
• コードのオブスクリューション技術に対応して、独自のマルウェアシグネチャを検出できる、堅牢で一般化可能なモデルの開発

提案手法

• マルウェアバイナリコードから得られるエントロピー特徴量を用いて、タスク固有の重みを生成するタスクに適応したメタラーナーネットワークを導入。
• 事前学習済みVGG-16ネットワークからの画像特徴量とエントロピー特徴量を融合し、シアンプスネットワークのハイブリッド入力を構築。
• 特徴空間におけるクラス内分散を最小化し、クラス間分離を最大化するために、コントラスト損失とセンター損失を組み合わせたハイブリッド損失関数を採用。
• 限られたデータで学習・検証できるように、少サンプル学習にNウェイ、Nショット評価プロトコルを適用し、実世界のマルウェア検出シナリオを模擬。
• メトリクス空間から学習された距離閾値を用いて、マルウェアサンプル間の類似度スコアを計算し、分類の堅牢性を向上。
• AUC-ROC曲線とTPR/FPR分析を用いて、5ウェイ、10ウェイ、15ウェイ分類タスクにおけるワンショットおよびファイブショット学習設定下でのモデル性能を評価。

実験結果

リサーチクエスチョン

• RQ1 訓練データに制御フローオブスクリュレーションを施された変種が含まれる状況下で、メタラーニングベースのシアンプスネットワークは、マルウェアファミリーを効果的に分類できるか？
• RQ2 エントロピー特徴量とディープな画像特徴量を組み合わせることで、少サンプルマルウェア検出における分類正確性はどのように向上するか？
• RQ3 ハイブリッド損失関数（コントラスト損失＋センター損失）は、特徴空間におけるポジティブペアおよびネガティブペアのクラスタリングをどの程度向上させるか？
• RQ4 ワンショットおよびファイブショット学習条件下で、Nウェイ分類が増加するに従い、モデルの性能はどのように変化するか？
• RQ5 訓練データが著しく制限された状況下で、タスクに適応したメタラーナーはバイアスを低減し、一般化性能を向上させるか？

主な発見

• 提案モデルは、5ウェイ、10ウェイ、15ウェイのワンショット学習タスクにおいて、それぞれAUC-ROCが0.92、0.91、0.80を達成し、汎用SNNベースラインを上回った。
• ファイブショット学習では、5ウェイ、10ウェイ、15ウェイ分類タスクでそれぞれ95.6%、90.7%、86.8%の正確性を達成し、限られたデータ下でも優れた一般化性能を示した。
• ハイブリッド損失関数は、クラス内距離を顕著に低減し、クラス間マージンを拡大し、より分離された特徴量クラスタを実現した。
• タスクに適応したメタラーナーはエントロピー特徴量を活用して特徴量埋め込みを効果的に調整し、オブスクリューションに対する分類の堅牢性を向上させた。
• Nウェイが増加してもモデルの性能が著しく低下せず、スケーラビリティと高いクラス内分散への耐性を示した。
• AUC-ROC曲線は、モデルの予測がすべての設定でベースラインSNNよりも一貫して正確であり、曲線下面積がより大きいことを確認した。