[논문 리뷰] Deep Learning Models for Detecting Malware Attacks

Pascal Maniriho, Abdun Naser Mahmood외 1명|arXiv (Cornell University)|2022. 09. 08.

Advanced Malware Detection Techniques인용 수 4

한 줄 요약

이 논문은 윈도우, 리눅스, 안드로이드 플랫폼에서 악성코드를 탐지하기 위한 딥러닝(DL) 모델에 대한 종합적인 리뷰를 제공하며, 딥러닝이 특징 추출을 자동화하고 대규모 악성코드 데이터셋을 효과적으로 처리할 수 있는 능력을 강조한다. 주요 딥러닝 구성 요소인 아키텍처, 최적화기, 손실 함수, 활성화 함수, 정규화 기법, 프레임워크 등을 평가하면서, 적대적 공격, 계산 비용, 리눅스 악성코드 탐지 연구의 국한 등 핵심 과제를 밝혀내며, 강력하고 실시간, 경량화된 모델 개발을 위한 향후 방향을 제안한다.

ABSTRACT

Malware is one of the most common and severe cyber-attack today. Malware infects millions of devices and can perform several malicious activities including mining sensitive data, encrypting data, crippling system performance, and many more. Hence, malware detection is crucial to protect our computers and mobile devices from malware attacks. Deep learning (DL) is one of the emerging and promising technologies for detecting malware. The recent high production of malware variants against desktop and mobile platforms makes DL algorithms powerful approaches for building scalable and advanced malware detection models as they can handle big datasets. This work explores current deep learning technologies for detecting malware attacks on the Windows, Linux, and Android platforms. Specifically, we present different categories of DL algorithms, network optimizers, and regularization methods. Different loss functions, activation functions, and frameworks for implementing DL models are presented. We also present feature extraction approaches and a review of recent DL-based models for detecting malware attacks on the above platforms. Furthermore, this work presents major research issues on malware detection including future directions to further advance knowledge and research in this field.

연구 동기 및 목표

• 윈도우, 리눅스, 안드로이드 플랫폼 전반에서 악성코드 탐지를 위한 딥러닝 기술에 대한 체계적인 리뷰를 제공하기 위해.
• 네트워크 최적화기, 손실 함수, 활성화 함수, 정규화 기법과 같은 핵심 딥러닝 구성 요소를 식별하고 분석하기 위해.
• 데스크톱 및 모바일 플랫폼용 악성코드 탐지 모델의 특징 추출 방법과 최근의 딥러닝 기반 모델을 검토하기 위해.
• 적대적 공격, 계산 비용, 리눅스 악성코드 탐지에 대한 집중 부족과 같은 핵심 연구 격차를 부각하기 위해.
• 강력하고 실시간, 경량화된 딥러닝 기반 악성코드 탐지 시스템 개발을 위한 향후 연구 방향을 제안하기 위해.

제안 방법

• 악성코드 탐지에 사용된 딥러닝 알고리즘(CNN, RNN, 오토인코더 포함)을 조사하고 분류하기 위해.
• 네트워크 최적화기(예: Adam, RMSProp), 손실 함수(예: 이진 교차 엔트로피), 활성화 함수(예: ReLU, Leaky ReLU)를 분석하기 위해.
• 과적합을 방지하기 위한 정규화 기법(드롭아웃, 배치 정규화 포함)을 평가하기 위해.
• 딥러닝 기반 악성코드 탐지 시스템을 구현하기 위한 프레임워크인 텐서플로우와 파이토치를 검토하기 위해.
• 이진 이미지 표현, API 호출 시퀀스, 권한 기반 특징과 같은 특징 추출 접근 방식을 평가하기 위해.
• 학습 시간을 단축하고 확장성을 향상시키기 위해 데이터 병렬화 및 모델 병렬화 전략을 검토하기 위해.

실험 결과

연구 질문

• RQ1 윈도우, 리눅스, 안드로이드 플랫폼에서 악성코드 탐지에 가장 효과적인 딥러닝 아키텍처와 구성 요소는 무엇인가요?
• RQ2 다양한 손실 함수, 활성화 함수, 정규화 방법은 딥러닝 기반 악성코드 탐지 모델의 성능에 어떤 영향을 미치나요?
• RQ3 딥러닝 기반 악성코드 탐지 시스템을 구현할 때 주요 과제는 무엇이며, 특히 적대적 공격과 계산 비용 측면에서 어떤가요?
• RQ4 왜 리눅스 시스템을 대상으로 한 딥러닝 기반 악성코드 탐지 연구에 격차가 존재하며, 그 의미는 무엇입니까?
• RQ5 향후 딥러닝 모델은 어떻게 설계되어야 실시간으로 작동하고 자원이 제한된 모바일 및 엣지 디바이스에 적합한가요?

주요 결과

• 딥러닝 모델은 자동 특징 추출 기능과 대규모 악성코드 데이터셋 처리 능력을 바탕으로 전통적인 머신러닝 방법을 능가한다.
• 적대적 공격은 여전히 심각한 위협이며, 악성코드 바이너리에 미세한 변형을 가하면 딥러닝 모델을 속여 탐지 회피가 가능하다.
• 기존 연구의 소수에 불과한 부분만 리눅스 기반 악성코드 탐지에 집중되어 있으며, 리눅스 악성코드 공격이 35% 증가하고 XorDdos와 같은 새로운 위협이 증가함에도 불구하고 그러한 연구가 부족하다.
• 학습 시간 단축과 딥러닝 기반 악성코드 탐지 시스템의 확장성 향상을 위해 모델 및 데이터 병렬화 기법이 필수적이다.
• 현재 딥러닝 기반 악성코드 탐지 모델은 높은 계산 비용을 지닐 뿐 아니라 특히 모바일 디바이스에서는 실시간 효율성이 떨어지는 경향이 있다.
• 향후 자원이 제한된 플랫폼, 예를 들어 안드로이드 및 임베디드 시스템에 배포하기 위해서는 경량화되고 강력한 아키텍처의 통합이 핵심이다.