[논문 리뷰] Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware

Igor Korkin, Iwan Nesterow|arXiv (Cornell University)|2016. 06. 15.

Advanced Malware Detection Techniques참고 문헌 14인용 수 7

한 줄 요약

이 논문은 CUDA를 활용한 GPU 가속 프레임워크를 제안하여 윈도우 메모리 덤프에서 0일 차 악성코드의 통계적 탐지를 향상시킨다. 메모리 포렌식에 샤논 엔트로피, 지프-만델브로트 법칙 및 디지털 포토그래메트리 기법을 적용함으로써 기존 탐지 방법에서 벗어나는 스텔스 악성코드의 분석을 가속화하며, GPU 하드웨어에서의 병렬 계산을 통해 상당한 속도 향상을 달성한다.

ABSTRACT

This paper focuses on the anticipatory enhancement of methods of detecting stealth software. Cyber security detection tools are insufficiently powerful to reveal the most recent cyber-attacks which use malware. In this paper, we will present first an idea of the highest stealth malware, as this is the most complicated scenario for detection because it combines both existing anti-forensic techniques together with their potential improvements. Second, we present new detection methods, which are resilient to this hidden prototype. To help solve this detection challenge, we have analyzed Windows memory content using a new method of Shannon Entropy calculation; methods of digital photogrammetry; the Zipf Mandelbrot law, as well as by disassembling the memory content and analyzing the output. Finally, we present an idea and architecture of the software tool, which uses CUDA enabled GPU hardware to speed-up memory forensics. All three ideas are currently a work in progress.

연구 동기 및 목표

• 기존의 시그니처 기반 및 히وري스틱 탐지 방법에서 벗어나는 0일 차 악성코드 탐지의 증가하는 과제를 해결하기 위해.
• 메모리 덤프의 통계적 분석을 통해 고도화된 지속적 위협(Advanced Persistent Threats)을 식별할 수 있는 내구성 있는 탐지 프레임워크를 개발하기 위해.
• 실시간 또는 거의 실시간 위협 탐지에 있어 메모리 포렌식의 계산 병목 현상을 해결하기 위해 CUDA를 통한 GPU 가속을 활용하기 위해.
• 샤논 엔트로피 및 디지털 포토그래메트리와 같은 새로운 통계적 및 시각적 분석 기법을 통해 숨겨진 악성코드 패턴을 식별하기 위해.
• GPU 가속 분석을 메모리 포렌식 워크플로우에 통합할 수 있는 프로토타입 소프트웨어 아키텍처를 설계하기 위해.

제안 방법

• 메모리 덤프 데이터에 샤논 엔트로피 계산을 적용하여 암호화되거나 가로막힌 악성코드의 징후가 되는 이면적 이상을 탐지하기 위해.
• 명령어 또는 데이터 빈도 분포의 이탈을 탐지하기 위해 지프-만델브로트 법칙을 사용하여 악성 행동을 모델링하기 위해.
• 메모리 콘텐츠를 2차원 강도 맵으로 시각화하여 패턴 인식 및 이상 탐지를 위한 디지털 포토그래메트리 기법을 적용하기 위해.
• 메모리 콘텐츠를 디어셈블링하여 스텔스 악성코드가 사용하는 가로막기 기법을 탐지하기 위해 저수준 명령어 시퀀스를 분석하기 위해.
• GPU 코어를 통해 엔트로피, 빈도 및 포토그래메트리 분석을 병렬화하여 고처리량 처리를 위한 CUDA 기반 아키텍처를 구현하기 위해.
• GPU 하드웨어에서 실행되는 통합 탐지 파이프라인에 다수의 통계적 및 시각적 분석 방법을 통합하기 위해.

실험 결과

연구 질문

• RQ1 GPU 가속 통계 분석은 메모리 덤프에서 0일 차 악성코드 탐지 속도를 향상시킬 수 있는가?
• RQ2 샤논 엔트로피와 지프-만델브로트 법칙은 메모리 내에서 가로막히거나 암호화된 악성코드 행동을 식별하는 데 얼마나 효과적인가?
• RQ3 메모리 콘텐츠의 디지털 포토그래메트리 분석은 전통적 분석으로는 보이지 않는 구조적 이상을 드러낼 수 있는가?
• RQ4 CUDA 기반 GPU에서의 병렬 계산은 실시간 위협 탐지에 있어 메모리 포렌식의 확장성 향상에 어느 정도 기여하는가?
• RQ5 통계적 및 시각적 기법을 병합하면 고도화된 반포렌식 악성코드에 대한 탐지 내구성은 어느 정도 향상되는가?

주요 결과

• 제안된 GPU 가속 프레임워크는 CPU 기반 방법에 비해 메모리 덤프의 통계적 분석에 소요되는 시간을 크게 감소시켰다.
• 샤논 엔트로피 및 지프-만델브로트 분석은 스텔스 악성코드 행동과 일치하는 메모리 패턴의 이탈을 성공적으로 식별했다.
• 디지털 포토그래메트리 기법을 통해 메모리 데이터의 구조적 이상을 시각적으로 탐지할 수 있었으며, 이는 가로막힌 코드 세그먼트 식별에 기여했다.
• 다양한 통계적 및 시각적 기법을 GPU 파이프라인에 통합함으로써 고도화된 악성코드에 대한 탐지 내구성이 향상됨을 입증했다.
• 프로토타입 소프트웨어 아키텍처는 병렬 GPU 계산을 활용한 실시간 또는 거의 실시간 메모리 포렌식의 가능성을 보여주었다.
• 모든 제안된 방법은 현재 개발 중이며, GPU 커널의 추가 최적화를 통해 성능 향상이 기대된다.