[논문 리뷰] Context-aware, Adaptive and Scalable Android Malware Detection through Online Learning (extended version)

A. Sankara Narayanan, Mahinthan Chandramohan외 2명|arXiv (Cornell University)|2017. 06. 03.

Advanced Malware Detection Techniques참고 문헌 38인용 수 7

한 줄 요약

이 논문은 프로그램 의존성 그래프 내에서 보안 민감한 행동과 맥락적 종속성을 포착하는 새로운 그래프 커널을 사용하는, 맥락 인식형, 적응형, 확장 가능한 온라인 학습 프레임워크인 Casandra를 제안한다. 기준 데이터셋에서 99.23%의 F-측도를 기록하고, 실세계 앱에서 89.92%의 정확도를 달성하여 배치 학습 설정에서 최신 기술보다 25% 이상, 지속적 유지 설정에서 7% 이상 뛰어난 성능을 보였다.

ABSTRACT

It is well-known that Android malware constantly evolves so as to evade detection. This causes the entire malware population to be non-stationary. Contrary to this fact, most of the prior works on Machine Learning based Android malware detection have assumed that the distribution of the observed malware characteristics (i.e., features) does not change over time. In this work, we address the problem of malware population drift and propose a novel online learning based framework to detect malware, named CASANDRA (Contextaware, Adaptive and Scalable ANDRoid mAlware detector). In order to perform accurate detection, a novel graph kernel that facilitates capturing apps' security-sensitive behaviors along with their context information from dependency graphs is proposed. Besides being accurate and scalable, CASANDRA has specific advantages: i) being adaptive to the evolution in malware features over time ii) explaining the significant features that led to an app's classification as being malicious or benign. In a large-scale comparative analysis, CASANDRA outperforms two state-of-the-art techniques on a benchmark dataset achieving 99.23% F-measure. When evaluated with more than 87,000 apps collected in-the-wild, CASANDRA achieves 89.92% accuracy, outperforming existing techniques by more than 25% in their typical batch learning setting and more than 7% when they are continuously retained, while maintaining comparable efficiency.

연구 동기 및 목표

• Android 악성 소프트웨어의 지속적인 진화와 기능 이탈로 인한 비정상적인 악성 소프트웨어 집단 문제를 해결하기 위해.
• 정적 데이터 분포를 가정하는 배치 학습 모델의 한계를 극복하여 변화하는 악성 소프트웨어 특성에 적응하지 못하는 문제를 해결하기 위해.
• 개념 이탈에도 불구하고 시간이 지남에 따라 높은 정확도를 유지할 수 있는 확장 가능하고 해석 가능한 악성 소프트웨어 탐지 시스템을 개발하기 위해.
• 구문적 변형에 저항하는 의미론적 악성 행동을 탐지하기 위해 프로그램 의존성 그래프에서의 맥락 정보를 통합하기 위해.
• 새로운 악성 소프트웨어 샘플을 다시 처음부터 재학습하지 않고도 지속적으로 모델을 업데이트할 수 있는 실시간 적응형 학습을 가능하게 하기 위해.

제안 방법

• 프로그램 의존성 그래프에서의 맥락적 근접 레이블 시퀀스를 통합하여 Weisfeiler-Lehman 커널을 확장한 새로운 맥락 인식형 가중 그래프 커널(CWLK)을 제안한다.
• 명시적 특징 매핑을 사용하여 그래프를 벡터로 표현함으로써, 특징 기여도 분석을 통한 효율적 계산과 해석 가능성 확보.
• 새로운 악성 소프트웨어 샘플이 도착함에 따라 지속적으로 분류기를 업데이트하기 위해 온라인 학습을 적용함으로써, 전체 역사 데이터셋에 대한 재학습 없이 개념 이탈에 적응.
• 제어, 데이터, 프로그램 의존성 그래프와 같은 프로그램 표현 그래프(PRG)를 활용하여 코드 변형에 강건한 의미론적 행동을 포착.
• 가장 중요한 하위 구조(예: API 호출 시퀀스)가 악성 분류에 기여하는지 식별하고 순위를 매기는 어휘 기반 특징 추출 메커니즘을 통합.
• CWLK 커널을 커널 기반 분류기(SVM 등)와 결합하여 온라인 및 점진적인 방식으로 그래프 분류를 수행.

실험 결과

연구 질문

• RQ1 어떻게 변화하는 Android 악성 소프트웨어 집단의 비정상적인 성격에 효과적으로 대응할 수 있는가?
• RQ2 프로그램 의존성 그래프에서의 맥락 정보를 통합할 경우, 표준 그래프 커널 대비 탐지 정확도가 얼마나 향상되는가?
• RQ3 온라인 학습 프레임워크는 대규모 실세계 앱 스트림을 처리하면서도 시간이 지남에 따라 높은 탐지 성능을 유지할 수 있는가?
• RQ4 기존 그래프 커널 대비 제안된 맥락 인식형 그래프 커널은 확장성, 정확도, 해석 가능성 측면에서 어떻게 비교되는가?
• RQ5 개념 이탈 상황에서 지속적인 모델 업데이트가 탐지 성능에 미치는 영향은 무엇인가?

주요 결과

• Casandra는 기준 데이터셋에서 99.23%의 F-측도를 기록하여 두 가지 최신 기술의 배치 학습 기법을 초월했다.
• 87,000개 이상의 실세계 Android 앱으로 구성된 실세계 데이터셋에서 Casandra는 89.92%의 정확도를 달성했으며, 표준 배치 학습 설정에서 기존 방법들보다 25% 이상 높은 성능을 보였다.
• 기존 방법들이 지속적 유지(즉, 새로운 데이터로 재학습)에 적응하도록 수정된 경우에도 Casandra는 여전히 정확도에서 7% 이상 뛰어나 성능을 확보했다.
• 제안된 맥락 인식형 그래프 커널(CWLK)은 분류 결정에 기여하는 가장 중요한 맥락적 특징 시퀀스를 식별하고 순위를 매김으로써 해석 가능한 탐지 기능을 제공한다.
• 각 반복에서 시간 복잡도가 O(he)로 표준 Weisfeiler-Lehman 커널과 동일하여, 대규모 앱 레포지터리에 대한 확장성 보장.
• CWLK에서의 명시적 특징 매핑은 확장성과 해석 가능성 모두를 지원하며, 악성 행동 패턴의 특징 수준 분석을 가능하게 한다.