[논문 리뷰] Random Forest for Malware Classification

Felan Carlo C. Garcia, F.P. Muga|arXiv (Cornell University)|2016. 09. 25.

Advanced Malware Detection Techniques참고 문헌 4인용 수 44

한 줄 요약

이 논문은 바이너리 파일을grayscale 이미지로 변환하고 Random Forest를 적용하여 악성코드를 분류하는 새로운 접근법을 제안한다. 이미지 기반 표현과 앙상블 학습을 활용함으로써, 코드 오브스컬레이션과 시그니처 기반 탐지 회피에 효과적으로 대응하여 악성코드 패밀리 식별 정확도가 95.62%에 도달하였다.

ABSTRACT

The challenge in engaging malware activities involves the correct identification and classification of different malware variants. Various malwares incorporate code obfuscation methods that alters their code signatures effectively countering antimalware detection techniques utilizing static methods and signature database. In this study, we utilized an approach of converting a malware binary into an image and use Random Forest to classify various malware families. The resulting accuracy of 0.9562 exhibits the effectivess of the method in detecting malware

연구 동기 및 목표

• 코드 오브스컬레이션을 통해 기존 시그니처 기반 탐지 방식을 회피하는 악성코드 변종을 분류하는 데 도전하는 것.
• 기계학습을 활용한 개선된 분류를 위해 바이너리 악성코드를 이미지 표현으로 변환하는 가능성 탐색.
• 이미지 인코딩된 바이너리를 기반으로 Random Forest가 다양한 악성코드 패밀리 간을 구분하는 성능 평가.
• 이미지 기반 특징 표현과 앙상블 학습의 조합이 악성코드 탐지 정확도 향상에 기여할 수 있음을 입증하는 것.

제안 방법

• 바이너리 악성코드는 바이트 값들을 픽셀 강도로 해석하여 회색조 이미지로 변환된다.
• 이미지 표현 방식은 바이너리 데이터 내의 구조적 패턴을 유지하여 시각적 특징 추출이 가능하다.
• Random Forest는 결정 트리의 집합을 사용하여 이미지 데이터를 기반으로 학습되며, 악성코드를 사전 정의된 패밀리로 분류하도록 학습된다.
• 숲에 포함된 각 트리는 무작위로 선택된 특징과 학습 데이터의 부분 집합에 기반하여 분류 결정을 내린다.
• 최종 예측은 숲에 포함된 모든 트리의 다수결 투표 방식으로 결정된다.
• 이 방법은 과적합에 대한 강건성과 고차원 이미지 입력을 효과적으로 처리할 수 있는 능력을 바탕으로 한다.

실험 결과

연구 질문

• RQ1 바이너리에서 이미지로의 변환 방식이 악성코드 분류를 위한 분별 가능한 특징을 효과적으로 유지할 수 있는가?
• RQ2 이미지 인코딩된 바이너리를 기반으로 학습된 Random Forest는 악성코드 패밀리 분류에서 어떤 성능을 보이는가?
• RQ3 이 방법은 기존의 시그니처 기반 또는 정적 분석 방법보다 얼마나 뛰어나게 성능을 발휘하는가?
• RQ4 기존 탐지 방식을 회피하는 오브스컬레이션된 악성코드 변종에 대해 이 방법이 일반화 가능한가?
• RQ5 실세계 악성코드 분류 작업에서 이미지 기반 Random Forest 모델의 정확도와 강건성은 어떠한가?

주요 결과

• 제안된 방법은 테스트된 악성코드 데이터셋에서 95.62%의 분류 정확도를 달성하였다.
• 이미지 기반 표현 방식은 악성코드 바이너리 내의 구조적 패턴을 효과적으로 포착하여 신뢰할 수 있는 패밀리 분류를 가능하게 하였다.
• Random Forest는 이미지 인코딩된 데이터에서 강력한 일반화 능력과 과적합에 대한 저항성을 보였다.
• 이 방법은 일반적으로 시그니처 기반 탐지 방식을 회피하는 데 사용되는 코드 오브스컬레이션 기법의 영향을 효과적으로 완화하였다.
• 결과적으로 이미지 기반 특징 표현과 앙상블 학습의 조합은 기존 정적 분석의 실용적이고 효과적인 대안으로 기능할 수 있음을 시사한다.
• 높은 정확도와 강건성 덕분에 이 방법은 실시간 악성코드 탐지 시스템에 도입될 잠재력이 있다.