[논문 리뷰] Enhancing Deep Neural Networks Against Adversarial Malware Examples.

Deqiang Li, Qianmu Li외 2명|arXiv (Cornell University)|2020. 04. 15.

Advanced Malware Detection Techniques참고 문헌 29인용 수 5

한 줄 요약

이 논문은 디프 뉴럴 네트워크의 적대적 악성코드 회피 공격에 대응하기 위해 체계적인 강건성 원칙을 적용하는 방어 프레임워크를 제안한다. 이는 드라이빈(Drebin) 데이터셋과 AICS'2019 챌린지에서 검증되었으며, 적대적 예제의 생성 방식을 사전에 알지 못한 상태에서도 챌린지에서 승리를 거두었다. 다만, 공격자가 사용하는 변조 집합이 알려지지 않은 점을 고려할 때, 이진 분류와 다중 분류 설정 간 약 22퍼센트의 정확도 격차가 관찰되었다.

ABSTRACT

Machine learning based malware detection is known to be vulnerable to adversarial evasion attacks. The state-of-the-art is that there are no effective countermeasures against these attacks. Inspired by the AICS'2019 Challenge organized by the MIT Lincoln Lab, we systematize a number of principles for enhancing the robustness of neural networks against adversarial malware evasion attacks. Some of these principles have been scattered in the literature, but others are proposed in this paper for the first time. Under the guidance of these principles, we propose a framework for defending against adversarial malware evasion attacks. We validated the framework using the Drebin dataset of Android malware. We applied the defense framework to the AICS'2019 Challenge and won, without knowing how the organizers generated the adversarial examples. However, we see a ~22\% difference between the accuracy in the experiment with the Drebin dataset (for binary classification) and the accuracy in the experiment with respect to the AICS'2019 Challenge (for multiclass classification). We attribute this gap to a fundamental barrier that without knowing the attacker's manipulation set, the defender cannot do effective Adversarial Training.

연구 동기 및 목표

• 기계 학습 기반의 악성코드 탐지기가 적대적 회피 공격에 취약한 문제를 해결하기 위해.
• 적대적 악성코드 예제에 대한 신경망 강건성을 향상시키기 위한 원칙을 체계화하기 위해.
• 적대적 예제 생성 방식을 사전에 알지 못한 상태에서도 실제 환경에서 효과적인 방어 프레임워크를 개발하기 위해.
• 알 수 없는 공격자 변조 집합이 적대적 훈련 효과성에 미치는 영향을 조사하기 위해.

제안 방법

• 프레임워크는 이전에 문헌에 산재해 있던 원칙들과 새로운로 제안된 원칙들을 조합하여 적용한다.
• 이러한 원칙에 기반한 적대적 훈련을 활용하여, 공격에 대한 일반화 능력을 향상시킨다.
• 이 방어 기법은 이진 분류를 위한 드라이빈 데이터셋과 다중 분류를 위한 AICS'2019 챌린지에서 평가되었다.
• 주최측이 적대적 예제를 어떻게 생성했는지에 대한 사전 지식이 필요하지 않다.
• 제안된 원칙에 기반한 아키텍처 및 훈련 전략 선택을 통해 강건성이 향상된다.

실험 결과

연구 질문

• RQ1 딥 뉴럴 네트워크를 어떻게 체계적으로 적대적 악성코드 회피 공격에 더 강건하게 만들 수 있는가?
• RQ2 공격자의 변조 집합이 알려지지 않은 상황에서 효과적인 방어를 가능하게 하는 원칙은 무엇인가?
• RQ3 왜 적대적 방어에서 이진 분류와 다중 분류 설정 간에 상당한 정확도 격차가 존재하는가?
• RQ4 적대적 예제 생성 방식을 사전에 알지 못한 상태에서도 방어 프레임워크가 얼마나 성공할 수 있는가?

주요 결과

• 적대적 예제의 생성 방식을 알지 못한 상태에서도, 방어 프레임워크는 AICS'2019 챌린지에서 승리를 거두었다.
• 드라이빈 데이터셋(이진 분류)과 AICS'2019 챌린지(다중 분류) 간 약 22퍼센트의 정확도 격차가 관찰되었다.
• 이 정확도 격차는 공격자가 사용하는 변조 집합이 알려지지 않은 기본적인 장벽으로 인해 효과적인 적대적 훈련이 제한되기 때문이다.
• 제안된 원칙은 공격자의 전략이 완전히 알려지지 않은 경우에도 강건성 향상을 가능하게 한다.