[논문 리뷰] Automated Ransomware Behavior Analysis: Pattern Extraction and Early Detection

Qian Chen, Sheikh Rabiul Islam외 2명|arXiv (Cornell University)|2019. 01. 01.

Advanced Malware Detection Techniques참고 문헌 12인용 수 3

한 줄 요약

이 논문은 시스템 로그에서 특징을 추출하여 초기 감지와 포렌식 시각화를 가능하게 하는 자동화된 랜섬웨어 행동 분석 도구를 제시한다. TF-IDF, 피셔의 LDA, 그리고 엑스트라 트리(ET) 기계학습 모델을 사용하여 랜섬웨어 행동을 구분하는 특징을 추출한다. ET는 가장 강력하고 효율적인 성능을 보였고, TF-IDF는 다양한 정상 로그 볼륨에서 핵심 악성 소프트웨어 패턴을 가장 잘 식별했다.

ABSTRACT

Security operation centers (SOCs) typically use a variety of tools to collect large volumes of host logs for detection and forensic of intrusions. Our experience, supported by recent user studies on SOC operators, indicates that operators spend ample time (e.g., hundreds of man-hours) on investigations into logs seeking adversarial actions. Similarly, reconfiguration of tools to adapt detectors for future similar attacks is commonplace upon gaining novel insights (e.g., through internal investigation or shared indicators). This paper presents an automated malware pattern-extraction and early detection tool, testing three machine learning approaches: TF-IDF (term frequency-inverse document frequency), Fisher's LDA (linear discriminant analysis) and ET (extra trees/extremely randomized trees) that can (1) analyze freshly discovered malware samples in sandboxes and generate dynamic analysis reports (host logs); (2) automatically extract the sequence of events induced by malware given a large volume of ambient (un-attacked) host logs, and the relatively few logs from hosts that are infected with potentially polymorphic malware; (3) rank the most discriminating features (unique patterns) of malware and from the learned behavior detect malicious activity; and (4) allows operators to visualize the discriminating features and their correlations to facilitate malware forensic efforts. To validate the accuracy and efficiency of our tool, we design three experiments and test seven ransomware attacks (i.e., WannaCry, DBGer, Cerber, Defray, GandCrab, Locky, and nRansom). The experimental results show that TF-IDF is the best of the three methods to identify discriminating features, and ET is the most time-efficient and robust approach.

연구 동기 및 목표

• 소규모 기관에서의 사이버보안 자원이 제한된 상황에서 증가하는 랜섬웨어 위협에 대응한다.
• 현재 각 사고당 수백 시간이 소요되는 SOC 환경에서의 수동 포렌식 작업을 줄인다.
• 시스템 로그에서 악성 행동 패턴을 자동으로 추출하여 랜섬웨어의 조기 감지를 가능하게 한다.
• 구분 가능한 특징과 그 상관관계를 시각화하여 악성 소프트웨어 포렌식 및 대응 계획 수립을 지원한다.
• 수동 역공학 및 분석가의 전문 지식에 의존하지 않는 확장 가능한 자동화된 솔루션을 개발한다.

제안 방법

• 7종의 랜섬웨어 샘플(WannaCry, DBGer, Cerber, Defray, GandCrab, Locky, nRansom)과 모의 정상 사용자 활동을 기반으로 Cuckoo Sandbox를 사용해 동적 분석 로그를 생성한다.
• TF-IDF, 피셔의 LDA, 그리고 엑스트라 트리(ET)를 적용하여 시스템 로그를 분석하고 랜섬웨어 유도 행동에서 구분 가능한 특징을 추출한다.
• 감염된 호스트 로그(악성)와 감염되지 않은 호스트 로그(정상)를 혼합하여 학습하여 구별 가능한 패턴을 식별한다.
• 모델별 가중치(예: TF-IDF 점수, LDA 클래스 간 분리도, ET 특징 중요도)를 사용해 특징의 구분 능력에 따라 순위를 매긴다.
• ET 모델의 의사결정 경로를 시각화하여 특징 간 상관관계와 계층적 감지 논리를 보여준다.
• 세 가지 실험을 통해 성능을 검증한다: 특징 순위의 안정성, 모델 간 비교, 미리보지 않은 로그에서의 조기 감지 정확도.

실험 결과

연구 질문

• RQ1 기계학습 모델은 시스템 로그에서 랜섬웨어 활동과 정상 활동을 구분하는 데 가장 구분 가능한 행동 패턴을 자동으로 추출할 수 있는가?
• RQ2 TF-IDF, 피셔의 LDA, ET는 다양한 정상 시스템 로그 볼륨에서 악성 특징을 식별하고 순위를 매기는 데 어떻게 비교되는가?
• RQ3 다양한 양과 질의 정상 호스트 로그를 포함한 학습 데이터에서 특징 순위가 안정적이고 강건한가?
• RQ4 ET 모델은 암호화가 발생하기 이전에 랜섬웨어 활동을 높은 정밀도로 감지할 수 있는가? 회수율은 수용 가능한 수준인가?
• RQ5 결정 트리의 시각화가 랜섬웨어 행동에 대한 포렌식 이해를 향상시키고 대응 계획 수립을 지원할 수 있는가?

주요 결과

• TF-IDF는 랜섬웨어 행동을 구분하는 데 가장 정확한 특징 세트를 식별하는 데 피셔의 LDA와 ET를 능가했다.
• ET는 다양한 정상 시스템 로그 양(C1, C2, C3 시나리오)에서도 일관된 특징 순위를 유지하여 가장 강건한 모델이었다.
• 피셔의 LDA는 정상 로그 볼륨에 따라 상당히 다른 특징 순위를 산출하여 낮은 강건성을 보였다.
• ET 모델은 모든 7종의 랜섬웨어 샘플에서 완벽한 정밀도(1.0)를 달성하여 조기 감지 시 거짓 경고가 없음을 보여주었다.
• GandCrab은 가장 높은 감지 정확도(0.999)와 F-점수(0.999)를 기록했고, DBGer는 가장 낮은 회수율(0.308)을 보여 일부 변종에 대해 감지에 어려움이 있음을 시사했다.
• ET 의사결정 트리의 시각화가 악성 행동의 순서와 그 상관관계를 성공적으로 강조하여 포렌식 분석에 기여했다.