[논문 리뷰] New Era of Deeplearning-Based Malware Intrusion Detection: The Malware Detection and Prediction Based On Deep Learning

Shuqiang Lu, Lingyun Ying외 6명|arXiv (Cornell University)|2019. 07. 19.

Advanced Malware Detection Techniques참고 문헌 48인용 수 11

한 줄 요약

이 논문은 동적 악성코드 행동 분류를 위한 TB-Malnet와 IB-Malnet로 구성된 딥 뉴럴 네트워크 프레임워크인 MalDeepNet을 제안하며, 가족 클러스터링 알고리즘과 미래 악성코드 탐지에 위한 새로운 Mal-GAN 기반 예측 모델을 함께 제공한다. 이 방법은 악성코드 데이터셋에서 뛰어난 성능을 보이며, 기존의 규칙 기반 방법에 비해 탐지 정확도와 효율성이 크게 향상된다.

ABSTRACT

With the development of artificial intelligence algorithms like deep learning models and the successful applications in many different fields, further similar trails of deep learning technology have been made in cyber security area. It shows the preferable performance not only in academic security research but also in industry practices when dealing with part of cyber security issues by deep learning methods compared to those conventional rules. Especially for the malware detection and classification tasks, it saves generous time cost and promotes the accuracy for a total pipeline of malware detection system. In this paper, we construct special deep neural network, ie, MalDeepNet (TB-Malnet and IB-Malnet) for malware dynamic behavior classification tasks. Then we build the family clustering algorithm based on deep learning and fulfil related testing. Except that, we also design a novel malware prediction model which could detect the malware coming in future through the Mal Generative Adversarial Network (Mal-GAN) implementation. All those algorithms present fairly considerable value in related datasets afterwards.

연구 동기 및 목표

• 기존의 규칙 기반 악성코드 탐지 시스템의 한계를 해결하기 위해 딥 러닝을 활용하여 정확도와 효율성을 향상시키는 것.
• 동적 행동 기반으로 악성코드를 분류하기 위한 특화된 딥 뉴럴 네트워크(MalDeepNet)를 개발하는 것.
• 유사한 행동 패턴을 기반으로 관련 악성코드 변종을 군집화하기 위한 딥 러닝 기반 가족 클러스터링 알고리즘을 설계하는 것.
• 학습된 패턴을 바탕으로 미래 악성코드 행동을 예측하기 위한 생성적 적대적 네트워크(Mal-GAN)를 구현하는 것.
• 실제 악성코드 데이터셋을 대상으로 제안된 모델을 평가하여 성능과 실용적 적용 가능성을 검증하는 것.

제안 방법

• 저자는 두 가지 특화된 딥 뉴럴 네트워크로 구성된 MalDeepNet을 설계하였으며, 행동 분석을 위한 TB-Malnet와 동적 실행 트레이스에서 특징을 추출하기 위한 IB-Malnet로 구성된다.
• 유사한 행동 패턴을 기반으로 악성코드 샘플을 가족 단위로 군집화하기 위한 딥 러닝 기반의 가족 클러스터링 알고리즘을 개발하였다.
• 합성 악성코드 샘플을 생성하고 향후 악성코드 행동을 예측하기 위해 악성코드 생성적 적대적 네트워크(Mal-GAN)를 구현하였다.
• 모델들은 실제 악성코드 데이터셋을 기반으로 훈련 및 평가되어 분류 및 예측 성능를 분석하였다.
• 동적 분석과 딥 러닝을 통합하여 탐지의 강건성과 일반화 능력을 향상시켰다.

실험 결과

연구 질문

• RQ1 딥 러닝 모델은 기존의 규칙 기반 시스템에 비해 악성코드 탐지 정확도와 효율성에서 뛰어나게 성능을 발휘할 수 있는가?
• RQ2 MalDeepNet은 동적 실행 행동 기반으로 악성코드를 분류하는 데 얼마나 효과적인가?
• RQ3 딥 러닝 기반의 클러스터링 모델은 관련 악성코드 가족을 어느 정도 정확하게 식별할 수 있는가?
• RQ4 Mal-GAN 모델은 학습된 패턴을 바탕으로 미래의 악성코드 변종을 성공적으로 예측할 수 있는가?
• RQ5 실제 악성코드 데이터셋에서 통합된 딥 러닝 파이프라인의 종합적인 성능은 어떠한가?

주요 결과

• MalDeepNet은 기존의 규칙 기반 접근 방식에 비해 동적 행동 기반 악성코드 분류에서 뛰어난 성능을 발휘한다.
• 딥 러닝 기반의 가족 클러스터링 알고리즘이 높은 일관성으로 관련 악성코드 변종을 성공적으로 군집화하였다.
• Mal-GAN 모델은 현실적인 악성코드 패턴을 생성하고 향후 위협을 예측할 수 있는 능력을 보였다.
• 통합된 딥 러닝 파이프라인은 테스트된 데이터셋에서 탐지 정확도를 향상시키면서도 시간 소모를 크게 줄였다.
• 제안된 모델들은 실세계 악성코드 탐지 환경에서 강력한 실용적 가치와 확장성을 보였다.