[논문 리뷰] Leveraging Machine Learning for Ransomware Detection

Nanda Rani, Sunita Dhavale|arXiv (Cornell University)|2022. 06. 04.

Advanced Malware Detection Techniques인용 수 9

한 줄 요약

이 논문은 Cuckoo Sandbox에서 추출한 정적 및 동적 분석을 위한 기능을 활용하여 실행 파일의 행동 분석을 기반으로 한 기계학습 기반 랜섬웨어 탐지 시스템을 제안한다. XGBoost 및 로지스틱 회귀 모델은 98.21%의 정확도를 달성했으며, XGBoost는 99%의 재현율을 보였으며, 제로데이 상황에서 랜섬웨어 행동을 식별하는 데 강력한 성능을 보였다.

ABSTRACT

The current pandemic situation has increased cyber-attacks drastically worldwide. The attackers are using malware like trojans, spyware, rootkits, worms, ransomware heavily. Ransomware is the most notorious malware, yet we did not have any defensive mechanism to prevent or detect a zero-day attack. Most defensive products in the industry rely on either signature-based mechanisms or traffic-based anomalies detection. Therefore, researchers are adopting machine learning and deep learning to develop a behaviour-based mechanism for detecting malware. Though we have some hybrid mechanisms that perform static and dynamic analysis of executable for detection, we have not any full proof detection proof of concept, which can be used to develop a full proof product specific to ransomware. In this work, we have developed a proof of concept for ransomware detection using machine learning models. We have done detailed analysis and compared efficiency between several machine learning models like decision tree, random forest, KNN, SVM, XGBoost and Logistic Regression. We obtained 98.21% accuracy and evaluated various metrics like precision, recall, TP, TN, FP, and FN.

연구 동기 및 목표

• 기존의 시그니처 기반 및 트래픽 기반 방법의 한계를 극복하기 위해 행동 기반의 기계학습 기반 랜섬웨어 탐지 시스템을 개발하는 것.
• 실제 실행 파일 행동 데이터를 사용하여 여러 감독 학습 모델의 랜섬웨어 탐지 성능을 평가하고 비교하는 것.
• 실시간 위협 탐지에 활용될 수 있도록 기업 보안 프레임워크인 EDR 및 SIEM에 통합 가능한 개념 증명 시스템을 구축하는 것.
• 파일 작업, 레지스트리 변경, 프로세스 활동과 같은 시스템 수준의 행동을 분석하여 제로데이 랜섬웨어를 탐지하는 과제를 해결하는 것.
• ELK(에라스틱서치, 로그스타시, 카이바나)와 같은 오픈소스 로깅 및 시각화 스택과의 통합을 통해 확장 가능한 배포를 가능하게 하는 것.

제안 방법

• 학습 및 테스트를 위한 랜섬웨어 및 악성(굿웨어) 실행 파일 샘플을 수집하였다.
• 모든 샘플을 Cuckoo Sandbox에서 실행하여 파일 작업, 레지스트리 수정, 네트워크 활동와 같은 상세한 시스템 수준의 행동을 캡처하였다.
• 샌드박스 로그에서 122개의 행동 특징을 추출하였으며, 예를 들어 파일 왁기 수, 레지스트리 키 생성 수, 프로세스 생성 수 등이 포함되었다.
• 결정 트리, 랜덤 포레스트, K-최근접 이웃, 서포트 벡터 머신, XGBoost, 로지스틱 회귀의 여섯 가지 기계학습 모델을 훈련하고 평가하였다.
• 정확도, 정밀도, 재현율 및 혼동 행렬 구성 요소(TP, TN, FP, FN)와 같은 표준 평가 지표를 사용하여 모델 성능을 비교하였다.
• 훈련된 모델을 EDR 및 SIEM 시스템과 통합하는 것을 제안하였으며, 로그 수집, 저장 및 시각화를 위한 ELK 스택을 활용하여 실현 가능성을 입증하였다.

실험 결과

연구 질문

• RQ1 샌드박스 실행에서 추출한 행동 특징을 기반으로 하여 랜섬웨어 탐지 정확도가 가장 높은 기계학습 모델은 무엇인가?
• RQ2 랜섬웨어와 양성 실행 파일을 구분할 때 다양한 모델의 정밀도 및 재현율 성능은 어떻게 나타나는가?
• RQ3 기존 알려진 시그니처나 네트워크 이질성에 의존하지 않고도 행동 기반 기계학습 모델이 제로데이 랜섬웨어 변종을 효과적으로 탐지할 수 있는가?
• RQ4 샌드박스 로그에서 유도된 특징 공학이 모델의 일반화 능력과 탐지 강건성에 미치는 영향은 무엇인가?
• RQ5 훈련된 기계학습 모델을 EDR, SIEM 또는 ELK와 같은 기존 엔터프라이즈 보안 인fra구조에 통합하여 실시간 모니터링을 가능하게 할 수 있는가?

주요 결과

• XGBoost 및 로지스틱 회귀 모델이 가장 높은 정확도 98.21%를 기록하여 다른 모델보다 탐지 및 일반화 능력에서 뛰어난 성능을 보였다.
• XGBoost는 99%의 재현율을 달성하여 실제 랜섬웨어 샘플의 99%를 정확히 식별했으며, 참 양성 188개 중에서 오직 2개의 참 음성만 존재했다.
• XGBoost를 사용할 경우 정밀도 96%를 확보하여 예측 결과로 랜섬웨어로 분류된 96%가 정확했으며, 거짓 경고를 최소화하였다.
• SVM 및 랜덤 포레스트는 각각 96.42% 및 96.02%의 정확도로 강력한 성능을 보였지만, XGBoost 및 로지스틱 회귀에 비해 떨어졌다.
• 혼동 행렬 분석 결과 XGBoost는 참 양성 188개, 참 음성 306개, 거짓 양성 7개, 거짓 음성 2개로 가장 균형 잡힌 성능을 보였다.
• 본 연구는 샌드박스 실행 로그를 활용한 행동 기반 기계학습 탐지 기법이 제로데이 상황에서도 유효하고 효과적인 방법임을 입증하였다.