[논문 리뷰] Advances In Malware Detection- An Overview

Heena Heena|ArXiv.org|2021. 04. 05.

Advanced Malware Detection Techniques참고 문헌 30인용 수 5

한 줄 요약

이 논문은 고도화된 악성코드 탐지 기법에 대한 종합적인 문헌 고찰을 제공하며, 정적, 동적, 행동 기반, 머신러닝, 딥러닝, 클라우드 기반, 모델 체킹 접근 방식을 평가한다. 교란된 악성코드와 제로데이 악성코드에 대해 행동 기반 및 모델 체킹 방법이 가장 효과적임을 밝혀내며, 주요 기여 사항으로는 탐지 방법의 비교 분석, 성능 메트릭스, 그리고 도구, 데이터셋, 향후 연구 방향의 정제된 목록을 포함한다.

ABSTRACT

Malware has become a widely used means in cyber attacks in recent decades because of various new obfuscation techniques used by malwares. In order to protect the systems, data and information, detection of malware is needed as early as possible. There are various studies on malware detection techniques that have been done but there is no method which can detect the malware completely and make malware detection problematic. Static Malware analysis is very effective for known malwares but it does not work for zero day malware which leads to the need of dynamic malware detection and the behaviour based malware detection is comparatively good among all detection techniques like signature based, deep learning based, mobile/IOT and cloud based detection but still it is not able to detect all zero day malware which shows the malware detection is very challenging task and need more techniques for malware detection. This paper describes a literature review of various methods of malware detection. A short description of each method is provided and discusses various studies already done in the advanced malware detection field and their comparison based on the detection method used, accuracy and other parameters. Apart from this we will discuss various malware detection tools, dataset and their sources which can be used in further study. This paper gives you the detailed knowledge of advanced malwares, its detection methods, how you can protect your devices and data from malware attacks and it gives the comparison of different studies on malware detection.

연구 동기 및 목표

• 정적, 동적, 행동 기반, 머신러닝, 딥러닝, 클라우드 기반, 모델 체킹 접근 방식을 포함한 기존 악성코드 탐지 기법을 분석하고 비교하기.
• 현재 방법이 제로데이 및 교란된 악성코드를 탐지하는 데에서 겪는 한계를 특정하기.
• 정확도, 정밀도, 재현율, F1-스코어, AUC와 같은 핵심 메트릭스를 사용하여 다양한 탐지 기법의 성능 평가하기.
• 연구자들이 향후 악성코드 탐지 연구를 위해 사용할 수 있도록 도구, 데이터셋, 실세계 구현 사례의 정제된 목록 제공하기.
• 현재 연구에서 지속되는 열린 과제, 예를 들어 높은 가짜 양성률, 작은 데이터셋, 과적합, 실시간 모니터링 부족 등을 부각하기.

제안 방법

• 악성코드 탐지에 관한 200건 이상의 연구를 대상으로 체계적인 문헌 고찰을 수행하며, 탐지 방법, 정확도, 성능 메트릭스에 집중했다.
• 악성코드 탐지 기법을 정적 분석, 동적 분석, 행동 기반 탐지, 서명 기반 방법, 머신러닝, 딥러닝, 클라우드 기반, 모델 체킹 접근 방식으로 분류했다.
• TP, FP, TN, FN에서 유도된 표준 메트릭스인 정확도, 정밀도, 재현율, F1-스코어, AUC, 로그 손실을 사용하여 성능을 평가했다.
• 12개의 악성코드 탐지 도구와 10개의 표준 데이터셋을 검토하고 비교했으며, Comodo의 Valkyrie 시스템과 VirusShare, DREBIN 등의 공개 레포지토리 포함.
• 클라우드 기반 악성코드 탐지에 적합한 딥러닝 모델(예: LeNet-5)과 CNN을 분석하여 속도와 정확도 사이의 트레이드오프 평가.
• 다중 사용자 실행 추적 분석에서의 분산 탐지 프레임워크에서의 프라이버시 및 보안 위험 논의.

실험 결과

연구 질문

• RQ1 제로데이 및 교란된 악성코드를 탐지하는 데 가장 효과적인 악성코드 탐지 기법은 무엇인가?
• RQ2 머신러닝 및 딥러닝 모델은 악성코드 분류의 정확도와 효율성 측면에서 어떻게 비교되는가?
• RQ3 다양한 탐지 방법에서 핵심 성능 메트릭스(예: F1-스코어, AUC)는 무엇이며, 데이터셋 크기와 특징 선택에 따라 어떻게 변화하는가?
• RQ4 실세계 악성코드 탐지에서 주요 과제는 무엇인가(예: 가짜 양성, 과적합, 실시간 평가 부족)?
• RQ5 클라우드 기반 및 행동 기반 탐지 시스템은 어떻게 탐지율을 높이면서도 프라이버시 및 회피 위험을 완화할 수 있는가?

주요 결과

• 행동 기반 및 모델 체킹 방법이 서명 기반 및 정적 분석보다 교란된 악성코드와 제로데이 악성코드에 대해 더 효과적이다.
• 딥러닝 모델인 LeNet-5는 클라우드 기반 악성코드 탐지에서 90%의 정확도를 달성했지만 정밀도가 낮아 저비용, 고속 탐지 시나리오에 적합하다.
• 콘텐츠 및 관계 분석을 사용하는 클라우드 기반 파일 결론 시스템인 Valkyrie 시스템은 정확도와 효율성 측면에서 Kaspersky 및 McAfee와 같은 상용 도구를 뛰어넘었다.
• 머신러닝 성능은 데이터셋 품질, 특징 선택, 하이퍼파rameter 튜닝에 매우 민감하며, 특히 작은 데이터셋에서 과적합 문제가 주요 문제로 나타난다.
• 다양한 기술의 발전에도 불구하고, 어떤 방법도 100% 탐지에 도달하지 못하며, 높은 가짜 양성 및 가짜 음성 비율, 실시간 평가 부족, 프라이버시 우려 등의 과제가 여전히 존재한다.
• 엔드유저 환경에서의 다중 실행 추적 분산 분석은 최소한의 오버헤드로 정확도를 향상시키지만, 프라이버시 및 회피 위험을 유발할 수 있다.