[논문 리뷰] Contextual Weisfeiler-Lehman Graph Kernel For Malware Detection

A. Sankara Narayanan, Guozhu Meng외 3명|arXiv (Cornell University)|2016. 06. 21.

Advanced Malware Detection Techniques참고 문헌 10인용 수 10

한 줄 요약

이 논문은 악성코드 탐지에 더 나은 성능을 발휘하기 위해 프로그램 표현 그래프(PRGs)에서 구조적 근접성 정보와 도달 가능성 맥락을 모두 포착하는 새로운 그래프 커널인 문맥적 Weisfeiler-Lehman 그래프 커널(CWLK)을 제안한다. CWLK는 상태기반 그래프 커널 및 악성코드 탐지 기법보다 각각 F-측정치에서 5.27%와 4.87% 높은 성능을 보이며, 대규모 안드로이드 앱 분석에 적합한 선형 시간 효율성을 유지한다.

ABSTRACT

In this paper, we propose a novel graph kernel specifically to address a challenging problem in the field of cyber-security, namely, malware detection. Previous research has revealed the following: (1) Graph representations of programs are ideally suited for malware detection as they are robust against several attacks, (2) Besides capturing topological neighbourhoods (i.e., structural information) from these graphs it is important to capture the context under which the neighbourhoods are reachable to accurately detect malicious neighbourhoods. We observe that state-of-the-art graph kernels, such as Weisfeiler-Lehman kernel (WLK) capture the structural information well but fail to capture contextual information. To address this, we develop the Contextual Weisfeiler-Lehman kernel (CWLK) which is capable of capturing both these types of information. We show that for the malware detection problem, CWLK is more expressive and hence more accurate than WLK while maintaining comparable efficiency. Through our large-scale experiments with more than 50,000 real-world Android apps, we demonstrate that CWLK outperforms two state-of-the-art graph kernels (including WLK) and three malware detection techniques by more than 5.27% and 4.87% F-measure, respectively, while maintaining high efficiency. This high accuracy and efficiency make CWLK suitable for large-scale real-world malware detection.

연구 동기 및 목표

• 기존 그래프 커널이 단순한 구조적 근접성 외에 악성 프로그램 행동을 탐지하는 데 필수적인 도달 가능성 맥락을 포착하지 못하는 한계를 해결한다.
• 프로그램 표현 그래프(PRGs)에서 도메인 특화 맥락 정보를 통합함으로써 악성코드 탐지용 그래프 커널의 표현력을 향상시킨다.
• 최신 기술에 비해 상당한 정확도 향상을 이룰 수 있도록 고성능을 유지하면서도, 상태기반 그래프 커널 및 악성코드 탐지 기법을 초월하는 커널을 개발한다.
• 문자열 기반 및 구조적 정보만을 기반으로 하는 탐지 기법을 피하는 악성코드 변종을 탐지하는 데 있어 맥락 기반 그래프 표현의 우수성을 입증한다.

제안 방법

• 지역적 구조와 경로 기반 맥락을 기반으로 라벨을 전파하는 수정된 정점 라벨링 기반으로 Weisfeiler-Lehman(WL) 커널을 확장하여 도달 가능성 맥락을 통합한다.
• 루트 노드에서부터 경로를 따라 라벨의 순서를 추적하는 맥락 인식 라벨링 프로세스를 도입함으로써, 구조적으로 유사하지만 맥락적으로 다른 근접성을 구분할 수 있도록 한다.
• 반복적으로 개선된 라벨 분포를 비교함으로써 PRG 간 유사도를 계산하는 양의 정의 커널로 CWLK를 설계하여, 위상적 정보와 맥락적 정보를 모두 유지한다.
• 커널을 통해 PRG의 명시적 특징 벡터 표현을 지원함으로써, SVM과 같은 커널 기반 분류기와의 호환성을 확보하고 스케일러블한 악성코드 탐지에 기여한다.
• PRG의 밀도에 비례하는 선형 시간 내에 커널 계산을 최적화하여 대규모 앱 분석에 대한 확장성을 확보한다.
• 실증적 평가를 위해 주로 ICFG(인터프로시저 제어 흐름 그래프) 표현을 사용하며, 깊이 제한 h=2를 적용한다.

실험 결과

연구 질문

• RQ1 구조적 근접성과 그 도달 가능성 맥락을 모두 포착하는 그래프 커널이 기존 그래프 커널 대비 악성코드 탐지 정확도를 크게 향상시킬 수 있는가?
• RQ2 PRG 내 맥락 정보의 통합이 그래프 기반 악성코드 탐지 모델의 표현력과 성능에 어떤 영향을 미치는가?
• RQ3 제안된 CWLK 커널이 대규모 실세계 악성코드 데이터셋에서 뛰어난 정확도를 달성하면서도 높은 효율성을 유지하는가?
• RQ4 PRG 내 맥락 정보가 문자열 기반 및 구조적 정보만을 기반으로 하는 탐지 기법을 피하는 악성코드 변종 탐지에 얼마나 기여하는가?

주요 결과

• CWLK는 50,000개 이상의 실세계 안드로이드 앱으로 구성된 데이터셋에서 F-측정치 95.82%(±0.66)를 달성하며, 최신 기술인 Drebin 방법보다 F-측정치에서 4.87% 높은 성능을 보였다.
• CWLK는 Weisfeiler-Lehman 커널(WLK) 대비 F-측정치에서 5.27% 향상되어 맥락 정보가 탐지 정확도 향상에 기여하는 가치를 입증했다.
• PRG의 밀도에 대해 선형 시간 복잡도를 유지함으로써, 향상된 표현력에도 불구하고 대규모 악성코드 탐지에 대한 확장성을 확보했다.
• CWLK는 정밀도 97.15%(±0.28)와 재현율 94.53%(±0.75)를 기록하여 모든 비교 대상 방법보다 두 지표에서 모두 뛰어난 성능을 보였다.
• 효율성 비교 결과, CWLK는 다른 PRG 기반 방법들(e.g., Allix et al.)과 유사한 성능을 보이며 Adagio와 같은 무거운 접근 방식보다 빠르지만, 비-PRG 기반 경량 방법보다는 다소 떨어지는 효율성을 보였다.
• 결과는 PRG 내에서 구조적 및 맥락적 특징을 모두 포착할 경우 더 뛰어난 탐지 성능을 달성할 수 있음을 확인하며, 도달 가능성 맥락이 악성 행동을 식별하는 데 필수적인 신호임을 가설 검증에 기여했다.