[논문 리뷰] A New Deep Boosted CNN and Ensemble Learning based IoT Malware Detection

Saddam Hussain Khan, Wasi Ullah|arXiv (Cornell University)|2022. 12. 15.

Advanced Malware Detection Techniques인용 수 5

한 줄 요약

이 논문은 고유한 Squeezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNN과 앙상블 분류기로 구성된 새로운 딥러닝 프레임워크인 Deep Squeezed-Boosted and Ensemble Learning (DSBEL)을 제안한다. 이 모델은 다중 경로 확장 컨볼루션, 경계 영역 연산, 전이 학습을 활용하여 글로벌 악성 패턴을 포착함으로써 IoT_Malware 데이터셋에서 98.50%의 정확도, 97.12%의 F1 점수, 98.42%의 정밀도를 달성한다.

ABSTRACT

Security issues are threatened in various types of networks, especially in the Internet of Things (IoT) environment that requires early detection. IoT is the network of real-time devices like home automation systems and can be controlled by open-source android devices, which can be an open ground for attackers. Attackers can access the network credentials, initiate a different kind of security breach, and compromises network control. Therefore, timely detecting the increasing number of sophisticated malware attacks is the challenge to ensure the credibility of network protection. In this regard, we have developed a new malware detection framework, Deep Squeezed-Boosted and Ensemble Learning (DSBEL), comprised of novel Squeezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNN and ensemble learning. The proposed STM block employs multi-path dilated convolutional, Boundary, and regional operations to capture the homogenous and heterogeneous global malicious patterns. Moreover, diverse feature maps are achieved using transfer learning and multi-path-based squeezing and boosting at initial and final levels to learn minute pattern variations. Finally, the boosted discriminative features are extracted from the developed deep SB-BR-STM CNN and provided to the ensemble classifiers (SVM, MLP, and AdabooSTM1) to improve the hybrid learning generalization. The performance analysis of the proposed DSBEL framework and SB-BR-STM CNN against the existing techniques have been evaluated by the IOT_Malware dataset on standard performance measures. Evaluation results show progressive performance as 98.50% accuracy, 97.12% F1-Score, 91.91% MCC, 95.97 % Recall, and 98.42 % Precision. The proposed malware analysis framework is robust and helpful for the timely detection of malicious activity and suggests future strategies

연구 동기 및 목표

• 진행 중인 악성 소프트웨어 공격의 증가 추세에 대응하여, 기존의 탐지 방법이 진화하는 위협에 대비해 강건성이 떨어지는 IoT 환경에서의 문제를 해결한다.
• 기존의 딥러닝 모델이 IoT 악성 소프트웨어 내에서 균일하고 비균일한 글로벌 악성 패턴을 포착하지 못하는 한계를 극복한다.
• 탐지 정확도, 일반화 능력, 실시간 IoT 보안에서의 강건성을 향상시키기 위해 하이브리드 딥러닝 및 앙상블 학습 프레임워크를 개발한다.
• 전이 학습과 다중 경로 특징 엔지니어링을 통합하여 악성 바이너리 내 미세한 패턴 변형을 보다 효과적으로 탐지한다.
• 자원이 제한된 IoT 디바이스에서 악성 소프트웨어의 조기 탐지를 위한 확장 가능하고 효율적인 솔루션을 제공한다. 이는 경량이지만 강력한 특징 추출 메커니즘을 기반으로 한다.

제안 방법

• 다중 경로 확장 컨볼루션, 경계 인식 연산, 영역 기반 특징 추출을 조합하여 다양한 악성 패턴을 포착할 수 있는 새로운 Squeezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNN 블록을 제안한다.
• CNN의 초기 및 최종 계층에서 전이 학습을 적용하여 사전 훈련된 모델에서 분류 가능한 특징을 추출함으로써 악성 소프트웨어 탐지에 적합한 표현 학습 능력을 향상시킨다.
• 다중 경로 기반의 압축 및 강화 메커니즘을 구현하여 다양한 특징 맵을 생성함으로써 악성 행동 내 미세한 변형을 탐지하는 데 모델의 능력을 향상시킨다.
• Support Vector Machine (SVM), Multilayer Perceptron (MLP), Adaptive Boosting (Adaboost)로 구성된 앙상블 분류기를 활용하여 최종 예측의 일반화 능력과 강건성을 향상시킨다.
• DSBEL 프레임워크를 IoT_Malware 데이터셋에서 엔드 투 엔드로 훈련하여 정확도, F1 점수, Matthews Correlation Coefficient (MCC)를 주요 성능 지표로 최적화한다.
• 강화된 분류 가능한 특징을 SB-BR-STM CNN에서 추출하여 앙상블 분류기에 입력하는 하이브리드 학습 전략을 적용함으로써 결정 경계를 정교화하고 과적합을 줄인다.

실험 결과

연구 질문

• RQ1 다중 경로 확장 컨볼루션과 경계 영역 연산을 갖춘 새로운 CNN 아키텍처가 IoT 악성 소프트웨어 내 균일하고 비균일한 악성 패턴을 효과적으로 포착할 수 있는가?
• RQ2 전이 학습과 다중 경로 압축 및 강화 기법을 통합할 경우, IoT 악성 소프트웨어 탐지에서 특징 표현 능력과 탐지 정확도가 얼마나 향상되는가?
• RQ3 제안된 앙상블 학습 프레임워크(SVM, MLP, Adaboost)는 단일 모델 기반 접근 방식에 비해 일반화 능력과 강건성을 얼마나 향상시키는가?
• RQ4 DSBEL 프레임워크는 IoT_Malware 데이터셋에서 기존 최고 수준의 기법들에 비해 정확도, F1 점수, MCC 측면에서 얼마나 높은 성능 향상을 달성하는가?
• RQ5 제안된 프레임워크는 자원이 제한된 IoT 환경에서의 배포에 적합하면서도 높은 탐지 성능를 유지할 수 있는가?

주요 결과

• DSBEL 프레임워크는 IoT_Malware 데이터셋에서 98.50%의 탐지 정확도를 달성하여 기존 방법들보다 뚜렷이 뛰어난 악성 IoT 바이너리 식별 능력을 보였다.
• 97.12%의 높은 F1 점수는 양성 및 악성 샘플을 모두 정확히 분류하는 데 있어 정밀도와 재현율 간의 균형을 잘 유지하고 있음을 시사한다.
• 91.91%의 Matthews Correlation Coefficient (MCC)는 특히 불균형 데이터셋에서 강력한 예측 품질과 강건성을 보여주며, 프레임워크의 우수성을 입증한다.
• 95.97%의 재현율은 모델가 실제 악성 소프트웨어 인스턴스의 대부분을 정확히 식별하고 있음을 확인한다.
• 98.42%의 정밀도는 예측된 악성 소프트웨어 샘플 중 대부분이 실제로 악성임을 의미하며, 거짓 양성 결과를 최소화하고 있음을 나타낸다.
• SB-BR-STM CNN 내 전이 학습과 다중 경로 강화의 통합은 특징의 분류 능력을 크게 향상시켜 모델의 뛰어난 성능에 기여하였다.