[논문 리뷰] Learning Fast and Slow: PROPEDEUTICA for Real-time Malware Detection

Ruimin Sun, Xiaoyong Yuan외 6명|arXiv (Cornell University)|2017. 12. 04.

Advanced Malware Detection Techniques참고 문헌 93인용 수 12

한 줄 요약

Propedeutica는 초기 걸러내기 위해 빠른 전통적 기계학습(ML)을 사용하고 경계 사례에 대해서만 딥러닝(DL)을 적용하는 이중 단계 악성코드 탐지 프레임워크를 제안한다. 이로 인해 CPU에서 94.34%의 정확도와 0.1초 이내 탐지 시간을 달성하였다. 새로운 DeepMalware 모델은 다중 스트림 입력과 ResNext 블록을 활용하여 공간-시간적 특징을 포착함으로써 정밀도를 향상시키면서도 실시간 성능를 유지한다.

ABSTRACT

Existing malware detectors on safety-critical devices have difficulties in runtime detection due to the performance overhead. In this paper, we introduce PROPEDEUTICA, a framework for efficient and effective real-time malware detection, leveraging the best of conventional machine learning (ML) and deep learning (DL) techniques. In PROPEDEUTICA, all software start execution are considered as benign and monitored by a conventional ML classifier for fast detection. If the software receives a borderline classification from the ML detector (e.g. the software is 50% likely to be benign and 50% likely to be malicious), the software will be transferred to a more accurate, yet performance demanding DL detector. To address spatial-temporal dynamics and software execution heterogeneity, we introduce a novel DL architecture (DEEPMALWARE) for PROPEDEUTICA with multi-stream inputs. We evaluated PROPEDEUTICA with 9,115 malware samples and 1,338 benign software from various categories for the Windows OS. With a borderline interval of [30%-70%], PROPEDEUTICA achieves an accuracy of 94.34% and a false-positive rate of 8.75%, with 41.45% of the samples moved for DEEPMALWARE analysis. Even using only CPU, PROPEDEUTICA can detect malware within less than 0.1 seconds.

연구 동기 및 목표

• 실시간 악성코드 탐지에서 성능-정확도 트레이드오���을 해결하기 위해 빠른 ML과 정확한 DL 방법을 조합하는 것.
• 현대의 양성 및 악성 소프트웨어 행동의 복잡성과 다양성으로 인한 오진률을 줄이는 것.
• 최소한의 성능 오버헤드로 안전 기반 시스템에서 실시간 탐지 기능을 제공하는 것.
• 시스템 호출 시퀀스에서 장기적이고 공간적으로 국소적인 특징을 포착할 수 있는 딥러닝 모델을 개발하는 것.
• 불확실한 샘플을 고정밀도 DL 분석으로 동적으로 라우팅하는 확장 가능한 다단계 탐지 파이프라인을 제공하는 것.

제안 방법

• 이중 단계 분류 파이프라인: 속도를 위해 전통적 기계학습(예: 랜덤 포레스트)을 통한 초기 걸러내기, 그 다음 경계 사례에 대해 DeepMalware를 적용.
• 모든 ML 및 DL 단계의 입력 특징으로 시스템 호출의 슬라이딩 윈도우 사용.
• 프로세스 전체 및 시스템 전체의 시스템 호출 동역학을 모델링하기 위해 다중 스트림 입력을 갖춘 DeepMalware 설계.
• 공간적으로 국소적인 패턴을 포착하기 위해 ResNext 블록을 통합하고, 장기적인 시간적 의존성을 모델링하기 위해 RNN을 활용.
• 경계 분류는 확률 간격 [30%-70%]로 정의되며, 이에 따라 DL 분석이 트리거된다.
• 다양한 윈도우 애플리케이션 카테고리에서 유래한 9,115개의 악성코드 및 1,338개의 양성 소프트웨어 샘플을 대상으로 평가.

실험 결과

연구 질문

• RQ1 하이브리드 ML-DL 프레임워크가 실시간 악성코드 탐지에서 0.1초 이내 탐지 시간을 유지하면서도 고정확도를 달성할 수 있는가?
• RQ2 단일 단계 ML 또는 DL 모델 대비 다단계 분류 접근 방식이 오진률 감소에 얼마나 효과적인가?
• RQ3 DeepMalware가 시스템 호출 시퀀스의 복잡한 공간-시간적 특징을 포착하는 데 기존 DL 모델보다 얼마나 뛰어나게 성능을 발휘하는가?
• RQ4 정확도와 성능의 균형을 고려할 때, 딥러닝 분석을 트리거하기 위한 최적의 임계값 간격은 무엇인가?
• RQ5 제안된 프레임워크는 실시간 반응성을 희생시키지 않고 CPU에서 효율적으로 배포될 수 있는가?

주요 결과

• Propedeutica는 [30%-70%] 경계 임계값을 사용하여 94.34%의 탐지 정확도와 8.75%의 오진률을 달성하였다.
• 전체 샘플의 41.45%만이 DeepMalware 분석을 필요로 하여 시스템의 성능 부담을 크게 줄였다.
• 동일한 데이터셋에서 DeepMalware는 97.03%의 정확도와 2.43%의 오진률을 기록하여 기준 DL 방법들을 능가하였다.
• CPU에서도 평균 탐지 시간이 0.1초 이내였으며, 실시간 배포가 가능함을 입증하였다.
• 빠른 ML과 정확한 DL을 조합한 프레임워크는 오진률을 감소시키면서도 낮은 지연 시간을 유지함을 입증하였다.
• DeepMalware의 다중 스트림 및 ResNext 강화 아키텍처는 시스템 호출 시퀀스에서 단기적이고 장기적인 행동 패턴을 효과적으로 포착하였다.