[논문 리뷰] IoTMalware: Android IoT Malware Detection based on Deep Neural Network and Blockchain Technology.

Rajesh Kumar, Wenyong Wang외 5명|arXiv (Cornell University)|2021. 02. 26.

Advanced Malware Detection Techniques인용 수 7

한 줄 요약

이 논문은 실시간 Android IoT 악성코드 탐지에 블록체인을 통합한 딥러닝 프레임워크를 제안한다. 정적 및 동적 앱 기능의 다수 수준의 클러스터링과 각 클러스터에 맞는 전문화된 신경망을 활용한다. 이 시스템은 불변성 있는 결정 로깅과 업로드/다운로드 중 앱을 검증하는 맞춤형 스마트 계약을 통해 보안을 강화하여, 다양한 이종 IoT 기기 간의 탐지 정확도와 적응성을 향상시킨다.

ABSTRACT

The Internet of Things (IoT) has been revolutionizing this world by introducing exciting applications almost in all walks of daily life, such as healthcare, smart cities, smart environments, safety, remote sensing, and many more. This paper proposes a new framework based on the blockchain and deep learning model to provide more security for Android IoT devices. Moreover, our framework is capable to find the malware activities in a real-time environment. The proposed deep learning model analyzes various static and dynamic features extracted from thousands of feature of malware and benign apps that are already stored in blockchain distributed ledger. The multi-layer deep learning model makes decisions by analyzing the previous data and follow some steps. Firstly, it divides the malware feature into multiple level clusters. Secondly, it chooses a unique deep learning model for each malware feature set or cluster. Finally, it produces the decision by combining the results generated from all cluster levels. Furthermore, the decisions and multiple-level clustering data are stored in a blockchain that can be further used to train every specialized cluster for unique data distribution. Also, a customized smart contract is designed to detect deceptive applications through the blockchain framework. The smart contract verifies the malicious application both during the uploading and downloading process of Android apps on the network. Consequently, the proposed framework provides flexibility to features for run-time security regarding malware detection on heterogeneous IoT devices. Finally, the smart contract helps to approve or deny to uploading and downloading harmful Android applications.

연구 동기 및 목표

• 광범위하게 배포되어 있고 보안 자원이 제한된 Android 기반 IoT 기기들이 점점 더 악성코드의 표적이 되고 있음에 따라, 이러한 위협에 대응하기 위해.
• 동적인 IoT 환경에서 진화하고 변형되는 악성코드를 다루기 어려운 기존의 악성코드 탐지 방법의 한계를 극복하기 위해.
• 다양한 IoT 기기의 기능 수준과 변화하는 악성코드 행동에 적응할 수 있는 확장성 있고 실시간 작동이 가능한 탐지 프레임워크를 개발하기 위해.
• 특징 클러스터와 모델 출력을 블록체인 레지스트리에 저장하여 탐지 결정의 신뢰성과 감사 가능성을 보장하기 위해.
• 업로드 및 다운로드 중 앱 무결성을 자동으로 검증하기 위해 맞춤형 스마트 계약을 통합하여 악성 앱 유포를 방지하기 위해.

제안 방법

• 수천 개의 Android 앱(악성 및 양성)으로부터 정적 및 동적 기능을 추출하고, 이를 블록체인으로 보호된 분산 레지스트리에 저장한다.
• 행동적 및 구조적 유사성에 기반하여 악성코드 기능을 별도의 집합으로 그룹화하기 위해 다수 수준의 클러스터링을 적용한다.
• 각 클러스터에 맞는 전문화된 딥 뉴럴 네트워크를 훈련시켜 특정 악성코드 가족 또는 패턴에 맞춘 탐지 정확도를 향상시킨다.
• 앙상블 학습 원칙을 활용하여 모든 클러스터 전용 모델의 출력을 통합하여 최종 악성코드 탐지 결정을 도출한다.
• 불변성, 추적 가능성, 그리고 업데이트된 데이터를 활용한 모델 재훈련을 보장하기 위해 탐지 결정과 클러스터링 데이터를 블록체인에 저장한다.
• 업로드 및 다운로드 중 앱 메타데이터와 행동을 검증하기 위해 블록체인에 맞춤형 스마트 계약을 구현하여 실시간으로 의심스러운 애플리케이션을 차단한다.

실험 결과

연구 질문

• RQ1 어떻게 다양한 악성코드 기능 클러스터에 맞게 딥러닝 모델을 효과적으로 전문화시켜 Android IoT 환경에서의 탐지 정확도를 향상시킬 수 있는가?
• RQ2 블록체인 기술이 분산된 IoT 시스템에서 악성코드 탐지 결정의 신뢰성과 감사 가능성을 어느 정도 향상시킬 수 있는가?
• RQ3 블록체인 프레임워크와 통합된 스마트 계약 메커니즘이 실시간으로 악성 Android 애플리케이션의 업로드 및 다운로드를 효과적으로 방지할 수 있는가?
• RQ4 제안된 다수 수준의 클러스터링 및 모델 전문화 방식은 통합된 딥러닝 모델 대비 탐지 성능을 어떻게 향상시키는가?
• RQ5 분산형 블록체인 기반 아키텍처를 통해 이종 IoT 기기 간에 실시간 악성코드 탐지가 가능한가?

주요 결과

• 제안된 프레임워크는 각 악성코드 기능 클러스터에 맞는 전문화된 딥러닝 모델을 활용하여 Android IoT 기기에서 실시간 악성코드 탐지가 가능하다.
• 블록체인 통합을 통해 탐지 결정과 클러스터링 데이터가 불변성과 감사 가능성이 확보되어 시스템의 신뢰성이 향상된다.
• 맞춤형 스마트 계약은 업로드 및 다운로드 중 앱을 성공적으로 검증하여 IoT 네트워크에서 악성 앱 유포 위험을 감소시켰다.
• 다수 수준의 클러스터링과 모델 전문화 방식은 다양한 악성코드 행동과 데이터 분포에 적응함으로써 탐지 정확도를 향상시켰다.
• 모듈러한 설계와 분산 아키텍처 덕분에 시스템은 이종 IoT 기기 간에 확장성과 적응성을 확보했다.
• 블록체인에 저장된 새로운 데이터를 활용한 재훈련을 통해 전문화된 모델의 지속적인 개선이 가능하다.