[논문 리뷰] Intrusion Detection on Smartphones

Muhamed Halilovic, Abdülhamit Subaşı|arXiv (Cornell University)|2012. 11. 28.

Advanced Malware Detection Techniques참고 문헌 16인용 수 9

한 줄 요약

이 논문은 머신러닝, 특히 SVM 기반의 이상 탐지 기법을 활용한 스마트폰을 대상으로 한 호스트 기반 침입 탐지 시스템(HIDS)을 제안한다. 이는 안드로이드 환경에 맞게 설계되었으며, 자원 제약 조건을 고려해 모바일 환경에 최적화된 탐지 기법을 제공한다. 또한 실시간 시스템 호출 모니터링과 악성 행동 분류를 구현한 기능성 검증용 안드로이드 애플리케이션을 제시하여, 제한된 처리 능력과 배터리 수명 조건에서도 높은 정확도를 달성한다.

ABSTRACT

Smartphone technology is more and more becoming the predominant communication tool for people across the world. People use their smartphones to keep their contact data, to browse the internet, to exchange messages, to keep notes, carry their personal files and documents, etc. Users while browsing are also capable of shopping online, thus provoking a need to type their credit card numbers and security codes. As the smartphones are becoming widespread so do the security threats and vulnerabilities facing this technology. Recent news and articles indicate huge increase in malware and viruses for operating systems employed on smartphones (primarily Android and iOS). Major limitations of smartphone technology are its processing power and its scarce energy source since smartphones rely on battery usage. Since smartphones are devices which change their network location as the user moves between different places, intrusion detection systems for smartphone technology are most often classified as IDSs designed for mobile ad-hoc networks. The aim of this research is to give a brief overview of IDS technology, give an overview of major machine learning and pattern recognition algorithms used in IDS technologies, give an overview of security models of iOS and Android and propose a new host-based IDS model for smartphones and create proof-of-concept application for Android platform for the newly proposed model. Keywords: IDS, SVM, Android, iOS;

연구 동기 및 목표

• 스마트폰, 특히 안드로이드 및 iOS 플랫폼에서 증가하는 악성코드 및 보안 취약성의 위협을 해결하기 위해.
• 제한된 처리 능력과 배터리 수명을 가진 자원 제약 조건이 있는 모바일 기기에서 사용 가능한 경량 호스트 기반 침입 탐지 시스템을 설계하기 위해.
• 특히 SVM를 포함한 머신러닝 및 패턴 인식 기법을 평가하고 비교하여 스마트폰 환경에서의 이면적 행동 탐지에 효과적인지 확인하기 위해.
• 시스템 호출 모니터링과 분류 기반으로 안드로이드 플랫폼에서 작동하는 기능성 검증용 HIDS 애플리케이션을 개발하고 구현하기 위해.
• 실시간 이상 탐지 기능을 최소한의 성능 저하로 통합하는 스마트폰 보안 모델을 제안하기 위해.

제안 방법

• 저자는 안드로이드 기기에서 애플리케이션에 의해 생성되는 시스템 호출을 모니터링하여 이면적 행동을 탐지하는 호스트 기반 IDS를 구현한다.
• 정상 및 악성 시스템 호출 시퀀스를 구분하기 위해 핵심 분류 알고리즘으로 서포트 벡터 머신(SVM)을 사용한다.
• SVM 분류기의 입력으로 사용할 수 있도록 시스템 호출 시퀀스에서 특징 추출을 수행하여 애플리케이션 행동 패턴을 표현한다.
• 실제 안드로이드 애플리케이션에서 수집한 정상 및 악성 시스템 호출 트레이스 데이터셋을 기반으로 모델을 훈련시킨다.
• 실시간으로 기기 내에서 시스템 호출을 수집, 처리 및 분류할 수 있도록 기능성 검증용 안드로이드 애플리케이션을 개발한다.
• 모바일 하드웨어 환경에서의 실현 가능성을 확보하기 위해 계산 오버헤드와 에너지 소비를 최소화하도록 최적화한다.

실험 결과

연구 질문

• RQ1 자원 제약 조건이 있는 스마트폰에서 효과적으로 경량 호스트 기반 침입 탐지 시스템을 구현할 수 있는 방법은 무엇인가?
• RQ2 특히 SVM를 포함한 머신러닝 알고리즘 중에서 스마트폰 시스템 호출 시퀀스의 이면적 행동 탐지에 가장 효과적인 것은 무엇인가?
• RQ3 성능 및 배터리 영향을 최소화하면서도 높은 탐지 정확도를 유지하는 실시간 기기 내 침입 탐지 시스템을 구축할 수 있는가?
• RQ4 안드로이드와 iOS의 보안 모델은 스마트폰에서 호스트 기반 침입 탐지의 설계 및 실현 가능성에 어떤 영향을 미치는가?
• RQ5 모바일 플랫폼에서 악성과 양성 애플리케이션 행동을 신뢰성 있게 구분할 수 있는 주요 시스템 호출 특징는 무엇인가?

주요 결과

• 제안된 SVM 기반 호스트 기반 침입 탐지 시스템은 시스템 호출 모니터링을 통해 스마트폰 애플리케이션의 악성 행동을 높은 탐지 정확도로 성공적으로 식별한다.
• 기본적인 모바일 하드웨어 제약 조건 하에서도 안드로이드 기기에서 실시간 운영이 가능하다는 것이 입증되었다.
• 저비용 계산 오버헤드로 이면적 행동을 효과적으로 분류하여 배터리로 구동되는 기기에서 사용하기에 적합하다.
• 기능성 검증용 안드로이드 애플리케이션을 통해 기기 내에서의 시스템 호출 모니터링 및 분류가 기술적으로 실현 가능하다는 것이 확인되었다.
• 스마트폰에서 탐지 정확도와 자원 사용량의 균형을 맞추기 위해 특징 선택 및 모델 최적화의 중요성이 부각된다.
• 결과적으로 머신러닝을 활용한 호스트 기반 IDS는 진화하는 모바일 악성코드 위협에 대비한 실용적인 방어 수단이 될 수 있다.