[논문 리뷰] Adaptive and Scalable Android Malware Detection through Online Learning

A. Sankara Narayanan, Yang Liu외 2명|arXiv (Cornell University)|2016. 06. 23.

Advanced Malware Detection Techniques참고 문헌 13인용 수 17

한 줄 요약

이 논문은 상시 업데이트를 통해 진화하는 악성 소프트웨어에 적응하는 온라인 학습 기반의 안드로이드 악성코드 탐지 프레임워크인 DroidOL을 제안한다. 이는 상위 제어 흐름 그래프 특징과 피아스티브-애그레서티 분류기 기반으로 지속적인 모델 업데이트를 수행한다. 일반 설정에서 84.29%의 정확도를 달성하며, 최신 기술의 배치 학습 방법보다 20% 이상 뛰어나며, 인구 이동성과 확장성 면에서 뛰어난 적응성을 보여준다.

ABSTRACT

It is well-known that malware constantly evolves so as to evade detection and this causes the entire malware population to be non-stationary. Contrary to this fact, prior works on machine learning based Android malware detection have assumed that the distribution of the observed malware characteristics (i.e., features) do not change over time. In this work, we address the problem of malware population drift and propose a novel online machine learning based framework, named DroidOL to handle it and effectively detect malware. In order to perform accurate detection, security-sensitive behaviors are captured from apps in the form of inter-procedural control-flow sub-graph features using a state-of-the-art graph kernel. In order to perform scalable detection and to adapt to the drift and evolution in malware population, an online passive-aggressive classifier is used. In a large-scale comparative analysis with more than 87,000 apps, DroidOL achieves 84.29% accuracy outperforming two state-of-the-art malware techniques by more than 20% in their typical batch learning setting and more than 3% when they are continuously re-trained. Our experimental findings strongly indicate that online learning based approaches are highly suitable for real-world malware detection.

연구 동기 및 목표

• 진화하는 악성코드 특성으로 인해 정적 배치 학습 모델이 무효화되는 악성코드 인구 이동성 문제를 해결한다.
• 고용량 데이터와 빈번한 재학습 요구로 인해 대규모 안드로이드 악성코드 탐지에서 배치 학습의 확장성에 한계가 있음을 극복한다.
• 지속적으로 새로운 샘플을 기반으로 모델을 업데이트하여 고정된 정확도를 유지하는 실시간, 적응형 탐지 시스템을 개발한다.
• 온라인 학습이 동적인 환경에서 실용적이고 대규모 악성코드 탐지에 배치 학습보다 더 효과적임을 입증한다.

제안 방법

• 보안 민감도 특징을 추출하기 위해 상위 제어 흐름 부분 그래프(ICFGs)를 사용하여 행동 의미를 포착한다.
• Weisfeiler-Lehman(WL) 그래프 커널을 적용하여 ICFGs를 기계 학습에 적합한 고차원 특징 벡터로 변환한다.
• 각 새로운 레이블이 부여된 샘플을 기반으로 점진적으로 업데이트되는 온라인 피아스티브-애그레서티 분류기를 활용하여 기능 이동성에 지속적으로 적응한다.
• 모든 이전의 악성코드 패tern을 순차적으로 처리함으로써 장기 기억을 유지하여 사실상 무한한 배치 크기와 유사한 효과를 낸다.
• 모델 파라미터를 각 새로운 앱 분석 후 즉각 업데이트하는 스트리밍 및 점진적 학습 방식을 사용하여 저지연 탐지 보장.
• 실제 세계의 87,000개 이상의 앱으로 구성된 데이터셋에서 두 가지 최신 기술의 배치 학습 방법과 성능 비교

실험 결과

연구 질문

• RQ1 온라인 학습은 진화하는 안드로이드 악성코드 인구의 비정상성 문제를 효과적으로 다룰 수 있는가?
• RQ2 시간이 지남에 따라 정확도와 적응성 측면에서 온라인 학습과 배치 학습의 성능는 어떻게 비교되는가?
• RQ3 빠른 재학습과 장기 기억이 다형성 및 장기적으로 지속되는 악성코드 패밀리 존재 상황에서 탐지 정확도에 얼마나 큰 영향을 미치는가?
• RQ4 ICFG에서 유도된 그래프 커널 기반의 구조적 특징이 악성코드의 오버클로징 및 회피 기법에 대해 강건성을 향상시킬 수 있는가?

주요 결과

• DroidOL은 실제 세계의 87,000개 이상의 안드로이드 앱으로 구성된 데이터셋에서 84.29%의 탐지 정확도를 달성하며, 표준 배치 학습 설정에서 두 가지 최신 기술의 배치 학습 방법보다 20% 이상 뛰어나다.
• 매일 재학습하는 배치 학습 기반 모델은 성능 향상을 보이나, DroidOL의 성능을 여전히 빛보다 낮게 유지하며, 지속적인 재학습 조건에서도 3% 이상 초월한다.
• Drebin 5K 데이터셋의 악성코드 샘플 약 80%가 최소 변종 지연 시간이 0일로 나타나, 하루 또는 연속적인 모델 업데이트가 필요할 정도로 빠른 다형성 배포 패tern을 보임을 시사한다.
• 40% 이상의 악성코드 패밀리가 최대 변종 지연 시간이 1년 이상 초과함을 확인하여, 진화하는 행동을 포착하기 위해 장기 기억 기능이 탐지 모델에 필수적임을 입증한다.
• 온라인 학습은 본질적으로 장기 기억과 지속적 적응을 지원하여 대규모 배치 재학습의 계산 부담 없이 효과적인 탐지가 가능하다.
• 결과적으로 온라인 학습이 적응성과 확장성 면에서 대규모 실생활 안드로이드 악성코드 탐지에 배치 학습보다 더 적합하다는 것이 확인되었다.