[논문 리뷰] Heterogeneous Graph Matching Networks

Shen Wang, Zhengzhang Chen외 8명|arXiv (Cornell University)|2019. 10. 17.

Advanced Graph Neural Networks참고 문헌 41인용 수 6

한 줄 요약

이 논문은 비균일한 그래프 매칭 네트워크인 MatchGNet을 제안하며, 그래프 신경망을 사용하여 프로그램 동작 특성과 유사도 메트릭을 동시에 학습함으로써 알려지지 않은 악성 소프트웨어를 탐지한다. 실행 동작을 불변 비균일 그래프로 모델링하고 계층적 어텐션을 갖춘 시아모이스 네트워크를 적용함으로써, 최신 기술 대비 50% 감소한 가짜 경고를 기록하면서도 악성 소프트웨어 탐지에서 0%의 가짜 부정을 달성한다.

ABSTRACT

Information systems have widely been the target of malware attacks. Traditional signature-based malicious program detection algorithms can only detect known malware and are prone to evasion techniques such as binary obfuscation, while behavior-based approaches highly rely on the malware training samples and incur prohibitively high training cost. To address the limitations of existing techniques, we propose MatchGNet, a heterogeneous Graph Matching Network model to learn the graph representation and similarity metric simultaneously based on the invariant graph modeling of the program's execution behaviors. We conduct a systematic evaluation of our model and show that it is accurate in detecting malicious program behavior and can help detect malware attacks with less false positives. MatchGNet outperforms the state-of-the-art algorithms in malware detection by generating 50% less false positives while keeping zero false negatives.

연구 동기 및 목표

• 기존 서명 기반 및 동작 기반 악성 소프트웨어 탐지 기법의 한계를 해결하기 위해, 특히 알려지지 않은 또는 제로데이 악성 소프트웨어를 탐지하지 못하는 문제를 해결한다.
• 복잡한 비균일 종속성, 내재된 유사도 메트릭의 부재, 큰 이벤트 공간, 프로그램 별칭 등의 도전 과제를 극복하기 위해 알려지지 않은 프로그램을 탐지하는 데에 초점을 맞춘다.
• 악성 소프트웨어 학습 샘플이 필요 없이 순수하게 양호한 프로그램 데이터에서 학습하는 데이터 기반 모델을 개발하여 알려지지 않은 악성 동작을 탐지할 수 있도록 한다.
• 악성 프로그램 동작 탐지에서 가짜 경고를 최소화하면서도 가짜 부정을 0%로 유지한다.
• 그래프 표현 학습과 시아모이스 네트워크를 활용해 프로그램 실행 트레이스 간의 유사도 학습을 향상시킨다.

제안 방법

• 프로그램 실행 트레이스 내 시스템 엔티티(예: 시스템 호출, 파일 작업 등) 간의 비선형적이고 계층적인 종속성을 모델링하기 위해 불변 비균일 그래프를 구축한다.
• 비균일 그래프 구조에서 문맥 기반 노드 표현을 학습하기 위해 계층적 어텐션 기반 그래프 신경망 인코더를 설계한다.
• 알려지지 않은 프로그램과 알려진 양호한 프로그램 간의 유사도 메트릭을 학습하기 위해 시아모이스 네트워크 아키텍처를 활용한다.
• 악성 소프트웨어 샘플을 포함하지 않고 순수하게 양호한 프로그램 실행 데이터만을 사용하여 모델을 훈련함으로써 알려지지 않은 위협에 대한 일반화 능력을 향상시킨다.
• 유사도 점수를 최적화하기 위해 훈련 중 대비 손실을 적용하여, 구조적 및 의미적 유사성 기반으로 악성과 양호한 동작을 구분할 수 있도록 한다.
• 훈련된 모델을 사용하여 알려지지 않은 프로그램을 탐지하기 위해 알려진 양호한 프로그램과의 유사도 점수를 계산하고, 임계값 이하로 떨어지면 경고를 트리거한다.

실험 결과

연구 질문

• RQ1 그래프 기반 표현 학습 모델은 악성 소프트웨어 탐지에 있어 프로그램 실행 동작의 복잡하고 비균일한 종속성을 효과적으로 포착할 수 있는가?
• RQ2 양호한 프로그램 데이터에서부터 악성 소프트웨어 샘플의 레이블이 필요 없이 종단 간 유사도 메트릭을 학습할 수 있는가?
• RQ3 기존 최신 기술 대비 비균일 그래프 매칭 네트워크는 실제 악성 소프트웨어 탐지에서 가짜 경고를 얼마나 줄일 수 있는가?
• RQ4 그래프 신경망에 계층적 어텐션을 통합하면 악성과 양호한 프로그램 간의 미세한 동작 차이를 탐지하는 데에 모델의 능력이 향상되는가?
• RQ5 다양한 악성 소프트웨어 패밀리와 복잡한 공격 체인을 포함한 실제 공격 시나리오에 모델이 일반화될 수 있는가?

주요 결과

• MatchGNet은 알려진 악성 소프트웨어 탐지에서 AUC 99%를 기록하여 모든 기준 기반 모델보다 최소 4% 이상 높은 성능을 보였다.
• 알려지지 않은 프로그램 탐지에서 MatchGNet은 정확도 96%를 달성했으며, SVM 대비 46% 높고 로지스틱 회귀 대비 14% 높았다.
• MatchGNet은 최신 기술 기준 대비 가짜 경고를 50% 감소시켰다—57건 대비 115건—동시에 기업 공격 시뮬레이션에서 실제 154건의 악성 소프트웨어 경고를 모두 포착했다.
• MatchGNet의 최적 하이퍼파라미터는 3층과 500개의 은닉 뉴런으로, 이는 AUC를 최대화하고 과적합을 방지하며 최소 자원 오버헤드를 유도한다.
• 모든 평가 설정에서 모델은 가짜 부정이 0%를 유지하여 악성 동작을 식별하는 데 있어 강력한 신뢰성을 입증했다.
• 그래프 인코더에 계층적 어텐션을 도입함으로써 의미적 특징 학습이 크게 향상되어 더 정확하고 강력한 유사도 점수를 도출했다.