[논문 리뷰] AI assisted Malware Analysis: A Course for Next Generation Cybersecurity Workforce

Maanak Gupta, Sudip Mittal외 1명|arXiv (Cornell University)|2020. 09. 21.

Advanced Malware Detection Techniques인용 수 7

한 줄 요약

이 논문은 증가하는 사이버보안 전문가 부족 문제를 해결하기 위해 AI 기반 악성코드 분석을 중심으로 한 실험 중심의 대학 과정을 제안한다. 이 과정은 위협 지능, 특징 추출, 탐지, 분류, 적대적 학습, APT 분석을 포함한 여섯 개의 모듈을 통해 실제 악성코드 데이터셋과 AI/ML 기법을 통합하여 학생들이 scikit-learn, PyTorch, CleverHans 등의 도구를 활용해 악성코드 탐지 및 방어 기술을 실무적으로 습득할 수 있도록 한다.

ABSTRACT

The use of Artificial Intelligence (AI) and Machine Learning (ML) to solve cybersecurity problems has been gaining traction within industry and academia, in part as a response to widespread malware attacks on critical systems, such as cloud infrastructures, government offices or hospitals, and the vast amounts of data they generate. AI- and ML-assisted cybersecurity offers data-driven automation that could enable security systems to identify and respond to cyber threats in real time. However, there is currently a shortfall of professionals trained in AI and ML for cybersecurity. Here we address the shortfall by developing lab-intensive modules that enable undergraduate and graduate students to gain fundamental and advanced knowledge in applying AI and ML techniques to real-world datasets to learn about Cyber Threat Intelligence (CTI), malware analysis, and classification, among other important topics in cybersecurity. Here we describe six self-contained and adaptive modules in "AI-assisted Malware Analysis." Topics include: (1) CTI and malware attack stages, (2) malware knowledge representation and CTI sharing, (3) malware data collection and feature identification, (4) AI-assisted malware detection, (5) malware classification and attribution, and (6) advanced malware research topics and case studies such as adversarial learning and Advanced Persistent Threat (APT) detection.

연구 동기 및 목표

• AI 및 기계학습을 활용한 악성코드 분석에 능한 사이버보안 전문가의 부족을 해소하기 위해 노력한다.
• 이론적인 AI/ML 교육과 사이버보안 분야의 실무 적용 간 격차를 실습 기반 랩을 통해 메우기 위해 노력한다.
• 학부 및 대학원 학생들이 사이버 위협 지능(CTI), 악성코드 분류, 적대적 기계학습에 대한 응용 지식을 습득하도록 한다.
• 산업계에서 유용한 AI 기법을 교육 과정에 통합하여 차세대 사이버보안 인재를 준비시킨다.
• 기본적인 머신러닝 및 사이버보안 기초 지식을 전제로 삼는, 확장 가능하고 모듈화된 커리큘럼을 제공한다.

제안 방법

• CTI, 악성코드 지식 표현, 데이터 수집, AI 기반 탐지, 분류, 고급 주제를 다루는 여섯 개의 상호 독립적이고 실험 중심의 모듈을 개발한다.
• 분류 모델의 훈련 및 평가를 위해 Kaggle 악성코드 데이터셋과 같은 실제 세계 데이터셋을 사용한다.
• 악성코드 탐지 및 분류 작업을 위해 Python 프레임워크인 scikit-learn, PyTorch, TensorFlow를 활용해 AI/ML 알고리즘을 구현한다.
• CleverHans 라이브러리를 활용해 적대적 예제 생성 및 방어 랩을 도입하여 적대적 기계학습 기법을 소개한다.
• NIST 가이드라인을 활용해 조직의 용도 사례 기반으로 악성코드 분류 체계를 설계하고 평가한다.
• 실제 랜섬웨어 공격 및 APT 사례 연구를 통합하여 AI 기반 탐지 기법이 실제 시나리오에서 어떻게 적용되는지 맥락화한다.

실험 결과

연구 질문

• RQ1 어떻게 AI 및 기계학습을 효과적으로 학술 교육 과정에 통합하여 학생들이 실제 악성코드 분석 능력을 기를 수 있는가?
• RQ2 다양한 악성코드 가족과 공격 벡터에서 악성코드를 탐지하고 분류하는 데 가장 효과적인 AI/ML 기법은 무엇인가?
• RQ3 실습 기반 랩을 통해 적대적 기계학습 공격을 교육하고 완화할 수 있는 방법은 무엇인가?
• RQ4 사이버 위협 지능(CTI)은 AI 기반 악성코드 탐지의 정확성과 맥락을 향상시키는 데 어떤 역할을 하는가?
• RQ5 모듈형이고 실험 중심인 과정 구조는 이론적 지식을 넘어서 AI 기반 사이버보안 역량을 향상시키는 데 어떻게 기여하는가?

주요 결과

• 이 과정은 실제 악성코드 데이터셋과 AI/ML 기법을 효과적으로 통합하여 학생들이 악성코드 탐지 및 분류 능력을 실무적으로 기를 수 있도록 했다.
• Kaggle 데이터셋을 활용해 특징 선택 및 머신러닝 알고리즘을 적용한 학생들은 9개의 악성코드 가족으로 분류하는 데 모델 정확도가 향상된 것을 확인했다.
• CleverHans를 활용한 적대적 예제 생성 및 방어 랩을 통해 학생들은 해커가 AI 모델을 조작할 수 있는 방식과 적대적 훈련을 통해 모델의 강성 향상을 어떻게 달성할 수 있는지 학습했다.
• 실습 중심의 랩과 실제 사례 연구에 중점을 둔 과정 구조는 학생들이 AI 기반 사이버보안 분야의 산업 현장 도전 과제에 효과적으로 대비하도록 했다.
• NIST의 악성코드 분류 프레임워크를 커리큘럼에 통합함으로써 학생들은 조직의 위험 수준과 위협 맥락에 따라 사건 우선순위를 정하는 데 도움을 받을 수 있었다.
• 73%의 대규모 기업에서 사이버보안 분야에 AI를 테스트하거나 이미 사용하고 있음에도 불구하고, 이 분야의 응용 기반 AI/ML 교육을 제공하는 학술 프로그램이 극히 적어 이 과정은 핵심 직무 격차를 해소하는 데 기여한다.