[논문 리뷰] Android Malware Detection based on Factorization Machine

Chenglin Li, Keith G. Mills외 4명|arXiv (Cornell University)|2018. 05. 30.

Advanced Malware Detection Techniques참고 문헌 39인용 수 5

한 줄 요약

이 논문은 매니페스트 파일과 소스 코드에서 유도된 고도로 희박한 one-hot 인코딩된 앱 표현에서 특징 간 상호작용을 효과적으로 모델링하는 Factorization Machine (FM) 기반 분류기를 제안한다. 이 방법은 DREBIN 및 AMD 데이터셋에서 각각 100.00% 정밀도와 99.22% 정밀도를 기록하며 오직 1.10%의 거짓 양성률을 보였고, 최신의 딥러닝 모델보다 최대 50배 빠른 속도로 학습이 가능하다.

ABSTRACT

As the popularity of Android smart phones has increased in recent years, so too has the number of malicious applications. Due to the potential for data theft mobile phone users face, the detection of malware on Android devices has become an increasingly important issue in cyber security. Traditional methods like signature-based routines are unable to protect users from the ever-increasing sophistication and rapid behavior changes in new types of Android malware. Therefore, a great deal of effort has been made recently to use machine learning models and methods to characterize and generalize the malicious behavior patterns of mobile apps for malware detection. In this paper, we propose a novel and highly reliable classifier for Android Malware detection based on a Factorization Machine architecture and the extraction of Android app features from manifest files and source code. Our results indicate that the numerical feature representation of an app typically results in a long and highly sparse vector and that the interactions among different features are critical to revealing malicious behavior patterns. After performing an extensive performance evaluation, our proposed method achieved a test result of 100.00% precision score on the DREBIN dataset and 99.22% precision score with only 1.10% false positive rate on the AMD dataset. These metrics match the performance of state-of-the-art machine-learning-based Android malware detection methods and several commercial antivirus engines with the benefit of training up to 50 times faster.

연구 동기 및 목표

• 진행 중인 다형성 악성코드에 대응하지 못하는 전통적인 시그니처 기반 및 히ュ리스틱 악성코드 탐지 방법의 한계를 해결하기 위해.
• 안드로이드 앱에서 복잡한 비선형 악성 행동 패턴을 탐지하는 데에 약한 일반화 능력을 보이는 선형 분류기(예: SVM)의 한계를 극복하기 위해.
• 희박한 one-hot 인코딩된 앱 표현에서 고차원의 특징 상호작용을 모델링하여 암시적인 악성 패턴을 향상된 감지 능력으로 탐지하기 위해.
• 특징 상호작용을 명시적인 교차 특징 열거 없이도 효율적으로 포착할 수 있는 확장 가능하고 효율적인 기계학습 모델을 개발하기 위해.

제안 방법

• 매니페스트 파일과 소스 코드에서 권한, 하드웨어 기능, 인텐트 필터, 제한된 API, 의심스러운 API, 사용된 권한 등의 특징을 추출하였다.
• 각 앱의 정적 특성을 캡처하기 위해 매우 희박한 one-hot 인코딩된 벡터 표현을 구성하였다.
• 고차원적이고 희박한 특징 공간에서도 효율적으로 쌍차 특징 상호작용을 모델링하기 위해 Factorization Machines (FMs)를 적용하였다.
• 앱을 정상 또는 악성으로 분류하기 위해 DREBIN 및 AMD 데이터셋에서 엔드 투 엔드로 FM 모델을 학습시켰다.
• 딥러닝 및 전통적인 기계학습 모델과의 성능 비교를 위해 단일 은닉층 아키텍처를 사용하였다.
• 정적 앱 분석에서 내재된 희박성과 상호작용 복잡성에 대응하기 위해 FM 모델을 최적화하였다.

실험 결과

연구 질문

• RQ1 Factorization Machines는 희박한 앱 특징 간의 복잡한 비선형 상호작용을 효과적으로 모델링하여 안드로이드 악성코드 탐지 성능을 향상시킬 수 있는가?
• RQ2 실세계 악성코드 데이터셋에서 최신의 기계학습 및 딥러닝 모델과 비교해 볼 때, FM 기반 탐지의 성능과 학습 효율성은 어떠한가?
• RQ3 특징 상호작용(예: 복합 권한 요청)은 어떤 정도로 도사리진 행동 기반 악성코드 탐지 능력을 향상시키는가?
• RQ4 동적 분석이나 복잡한 그래프 구축에 의존하지 않고 정적 앱 특징으로 학습된 모델이 근사적으로 완벽한 정밀도와 낮은 거짓 양성률을 달성할 수 있는가?

주요 결과

• 제안된 FM 기반 모델은 DREBIN 데이터셋에서 100.00% 정밀도를 기록하여 테스트 세트에서 거짓 양성이 전혀 없음을 나타낸다.
• AMD 데이터셋에서는 99.22% 정밀도와 오직 1.10%의 거짓 양성률을 기록하여 강력한 일반화 능력과 낮은 오류율을 입증하였다.
• 기존의 선형 분류기인 SVM보다 성능이 뛰어나며, 정확도와 F1 점수 모두에서 딥러닝 모델과 동등하거나 이를 초월하였다.
• 학습 시간은 다층 퍼셉트론(MLP) 모델보다 최대 50배 빠르게 나타나, 훨씬 뛰어난 확장성과 효율성을 입증하였다.
• 학습된 특징 상호작용을 통해 악성코드 패밀리 탐지 및 악성 행동 패턴 식별 능력에서 뛰어난 강건성을 보였다.
• 결과적으로 특징 상호작용을 모델링하는 것이, 전통적인 시그니처 및 선형 모델을 회피하는 고도로 발전된 행동 기반 안드로이드 악성코드를 탐지하는 데 핵심적임을 확인하였다.