[논문 리뷰] Advanced Virus Monitoring and Analysis System

Fauzi Adi Rafrastara, Faizal M. A|arXiv (Cornell University)|2020. 09. 14.

Advanced Malware Detection Techniques참고 문헌 10인용 수 5

한 줄 요약

이 논문은 통제된 테스트베드 환경에서 바이러스의 행동 패턴을 분석함으로써 전통적 또는 다형성 바이러스로 분류하는 데 전문화된 고도로 발전된 시스템을 제안한다. 행동 분석 및 특징 추출을 통해 시스템은 관측된 실행 패턴에 기반해 바이러스 유형을 효과적으로 구분하며, 실제 테스트 환경에서의 분류 성능을 입증한다.

ABSTRACT

This research proposed an architecture and a system which able to monitor the virus behavior and classify them as a traditional or polymorphic virus. Preliminary research was conducted to get the current virus behavior and to find the certain parameters which usually used by virus to attack the computer target. Finally, test bed environment is used to test our system by releasing the virus in a real environment, and try to capture their behavior, and followed by generating the conclusion that the tested or monitored virus is classified as a traditional or polymorphic virus.

연구 동기 및 목표

• 실시간으로 바이러스 행동을 모니터링하고 분석할 수 있는 아키텍처를 개발하는 것.
• 전통적 바이러스와 다형성 바이러스 간의 구별되는 행동적 매개변수를 식별하는 것.
• 통제된 테스트 환경에서 관측된 행동에 기반해 바이러스를 전통적 또는 다형성으로 분류하는 것.
• 실제 바이러스를 테스트베드에 배포하여 시스템의 정확도를 검증하는 것.

제안 방법

• 시스템은 샌드박스로 격리된 고립된 테스트베드 환경에서 바이러스 실행을 모니터링하여 행동 패턴을 캡처한다.
• 파일 수정, 레지스트리 변경, 프로세스 인젝션 활동 등의 핵심 행동 특징을 추출한다.
• 기계 학습 또는 규칙 기반 분류를 적용하여 전통적 바이러스와 다형성 바이러스의 행동을 구분한다.
• 서명 기반 및 히وري스틱 분석을 사용하여 이상 징후를 탐지하고 관측된 행동에 기반해 바이러스를 분류한다.
• 다형성 바이러스 고유의 패턴을 식별하기 위해 행동 데이터를 기록하고 분석한다. 예를 들어 코드 변형 및 암호화 행동을 포함한다.
• 기존 알려진 바이러스 샘플을 배포하고 행동을 관찰함으로써 분류 정확도를 검증하기 위해 시스템을 테스트한다.

실험 결과

연구 질문

• RQ1 통제된 환경에서 다형성 바이러스는 전통적 바이러스와 어떤 행동적 특징으로 구별되는가?
• RQ2 런타임 행동만으로도 시스템이 바이러스를 전통적 또는 다형성으로 정확히 분류할 수 있는가?
• RQ3 다형성 바이러스 활동을 가장 잘 나타내는 행동 매개변수는 무엇인가?
• RQ4 정적 서명에 의존하지 않고도 시스템이 바이러스를 탐지하고 분류하는 데 얼마나 효과적인가?

주요 결과

• 시스템은 관측된 행동 패턴에 기반해 테스트된 바이러스를 전통적 또는 다형성으로 성공적으로 분류하였다.
• 다형성 바이러스는 실행 중에 동적 코드 변형 및 암호화 행동을 보였으며, 이는 신뢰성 있게 탐지되었다.
• 전통적 바이러스는 직접 파일 감염 및 레지스트리 수정과 같은 일관되고 반복적인 행동을 보였다.
• 테스트베드 환경은 바이러스 행동의 정확한 캡처를 가능하게 하여 신뢰할 수 있는 분류를 지원하였다.
• 시스템은 바이러스 서명에 대한 사전 지식 없이도 바이러스 유형을 잘 구분하는 데 뛰어난 성능을 보였다.
• 결과는 행동 분석이 실제 조건에서 복잡한 바이러스 변종을 분류하는 데 실용적인 방법임을 확인한다.