[논문 리뷰] Malicious Behavior Detection using Windows Audit Logs

Konstantin Berlin, David Slater외 1명|arXiv (Cornell University)|2015. 06. 13.

Network Security and Intrusion Detection참고 문헌 11인용 수 5

한 줄 요약

이 논문은 추가 소프트웨어 없이 네이티브 윈도우 감사 로그를 사용하여 악성 행위를 탐지하는 저비용, 에이전트가 없는 악성코드 탐지 시스템을 제안한다. 행동 특징을 추출하고 로지스틱 회귀를 적용함으로써, 악성코드의 83%를 탐지하고 0.1%의 거짓 경고율을 달성하며, 상용 악성코드 방지 솔루션에서 놓친 78%의 악성코드를 식별한다.

ABSTRACT

As antivirus and network intrusion detection systems have increasingly proven insufficient to detect advanced threats, large security operations centers have moved to deploy endpoint-based sensors that provide deeper visibility into low-level events across their enterprises. Unfortunately, for many organizations in government and industry, the installation, maintenance, and resource requirements of these newer solutions pose barriers to adoption and are perceived as risks to organizations' missions. To mitigate this problem we investigated the utility of agentless detection of malicious endpoint behavior, using only the standard build-in Windows audit logging facility as our signal. We found that Windows audit logs, while emitting manageable sized data streams on the endpoints, provide enough information to allow robust detection of malicious behavior. Audit logs provide an effective, low-cost alternative to deploying additional expensive agent-based breach detection systems in many government and industrial settings, and can be used to detect, in our tests, 83% percent of malware samples with a 0.1% false positive rate. They can also supplement already existing host signature-based antivirus solutions, like Kaspersky, Symantec, and McAfee, detecting, in our testing environment, 78% of malware missed by those antivirus systems.

연구 동기 및 목표

• 에이전트를 추가로 배포하지 않고도 네이티브 윈도우 감사 로그를 악성 행위 탐지 신호로 사용할 수 있는지의 가능성을 평가하는 것.
• 기계학습을 위한 해석 가능한 특징으로 감사 로그를 변환하는 가용성 있고 계산 효율적인 방법을 개발하는 것.
• 기존 시그니처 기반 악성코드 방지 솔루션을 회피하는 고도의 악성코드를 향상된 방식으로 탐지하는 것.
• 기존 알려진 시그니처에 의존하지 않고도 감사 로그 기반 탐지가 악성코드를 나타내는 행동 패턴을 식별할 수 있는지 검증하는 것.
• 이 접근 방식이 기존 엔터프라이즈 SIEM 인fra구조에 최소한의 오버헤드로 확장 가능하고 통합 가능한지 보여주는 것.

제안 방법

• 표준 엔터프라이즈 관리 도구를 사용해 시뮬레이션된 기업 환경에서 윈도우 감사 로그를 수집하였다.
• 파일 실행, 레지스트리 쓰기, DLL 로딩 패턴과 같은 행동 특징으로 감사 로그 이벤트를 매핑하였다.
• 특징 빈도와 가중치를 기반으로 로그를 악성 또는 양성으로 분류하기 위해 로지스틱 회귀(LR)를 적용하였다.
• 특징 중요도 분석을 통해 편집된 파일 실행, 악성코드 방지 소프트웨어 로그 파일 쓰기 등 고신호 행동을 식별하였다.
• 탐지율과 거짓 경고율 최적화를 위해 알려진 악성코드 샘플과 양성 시스템 작업 데이터셋을 기반으로 분류기 학습을 수행하였다.
• ROC 곡선과 낮은 거짓 경고율(FPR) 영역에서의 진짜 양성 비율(TPR) 추정치를 사용해 성능을 평가하였다.

실험 결과

연구 질문

• RQ1 네이티브 윈도우 감사 로그가 에이전트 배포 없이도 악성 소프트웨어 탐지에 충분한 행동 신호를 제공할 수 있는가?
• RQ2 감사 로그 특징 기반 기계학습 모델이 기존 시그니처 기반 악성코드 방지 솔루션을 우회하는 악성코드를 어느 정도 탐지할 수 있는가?
• RQ3 특정 감사 로그 이벤트 중에서 어떤 것이 악성 행위를 가장 잘 나타내며, 이러한 이벤트는 모델에 의해 자동으로 탐지될 수 있는가?
• RQ4 감사 로그 기반 탐지의 성능이 기업용 악성코드 방지 솔루션과 비교해 탐지율과 거짓 경고율 측면에서 어떻게 다른가?
• RQ5 이 접근 방식은 기존 엔터프라이즈 SIEM 시스템에 최소한의 오버헤드로 확장 가능하고 통합 가능한가?

주요 결과

• 로지스틱 회귀 모델은 83%의 악성코드 샘플을 탐지하고 거짓 경고율이 0.1%에 머물러 높은 정밀도와 재현율을 보였다.
• 시스템은 Kaspersky, Symantec, McAfee와 같은 상용 악성코드 방지 솔루션에서 완전히 놓친 78%의 악성코드 샘플을 탐지하였다.
• 가장 중요한 세 가지 특징—편집된 파일 실행, Windows Defender의 감시 로그 쓰기, msvbvm60.dll 쓰기—는 직접 해석 가능하며 악성 행위를 나타내는 데 유의미하였다.
• 특징 중요도 분석을 통해 모델이 악성 행위 패tern에 더 중점을 두고 있음을 확인하였으며, 이는 이질성 탐지에 집중하고 있음을 확인하였다.
• 이 접근 방식은 확장 가능하며, 추가 에이전트나 소프트웨어 설치 없이도 기존 엔터프라이즈 SIEM 인fra구조를 활용해 구현 가능하다.
• 낮은 FPR 영역에서의 추정치 과소평가 가능성과 느린 진행 악성코드의 도전 과제 등 제한점이 존재하지만, 이 방법은 경량이고 보완적인 방어 계층으로 강력한 잠재력을 보였다.