[논문 리뷰] Survey on the Usage of Machine Learning Techniques for Malware Analysis.

Daniele Ucci, Leonardo Aniello외 1명|arXiv (Cornell University)|2017. 10. 23.

Advanced Malware Detection Techniques참고 문헌 37인용 수 29

한 줄 요약

이 종합 검토는 악성코드 분석에서 기계학습의 응용을 체계화하기 위해 기존 연구를 그들의 목표, 특징, 알고리즘에 따라 분류한다. 데이터셋 품질의 핵심 과제를 밝히고, 정확도와 비용의 상호 교환 관계를 평가하기 위해 악성코드 분석 경제학을 도입한다.

ABSTRACT

Coping with malware is getting more and more challenging, given their relentless growth in complexity and volume. One of the most common approaches in literature is using machine learning techniques, to automatically learn models and patterns behind such complexity, and to develop technologies for keeping pace with the speed of development of novel malware. This survey aims at providing an overview on the way machine learning has been used so far in the context of malware analysis. We systematize surveyed papers according to their objectives (i.e., the expected output, what the analysis aims to), what information about malware they specifically use (i.e., the features), and what machine learning techniques they employ (i.e., what algorithm is used to process the input and produce the output). We also outline a number of problems concerning the datasets used in considered works, and finally introduce the novel concept of malware analysis economics, regarding the study of existing tradeoffs among key metrics, such as analysis accuracy and economical costs.

연구 동기 및 목표

• 기계학습이 악성코드 분석에 어떻게 적용되고 있는지 종합적인 개요를 제공하는 것.
• 사용된 목표, 특징, 기계학습 기법에 기반해 기존 연구를 체계화하는 것.
• 조사된 연구들에서 사용된 데이터셋의 주요 제한 사항을 규명하는 것.
• 정확도 대비 비용의 상호 교환 관계를 평가하기 위해 악성코드 분석 경제학 개념을 도입하는 것.

제안 방법

• 기계학습을 활용한 악성코드 분석에 관한 문헌에 대한 체계적 종합 검토를 수행한다.
• 분석 목표(예: 분류 또는 탐지)에 따라 연구를 분류한다.
• 사용된 악성코드 특징의 유형을 분석한다. 여기에는 정적, 동적, 행동적 지표가 포함된다.
• 사용된 기계학습 알고리즘을 매핑한다. 예: 결정 트리, 신경망, 앙상블 방법.
• 데이터셋 품질을 평가하며, 불균형, 가로막힘, 실제 세계의 다양성 부족 등의 문제점을 강조한다.
• 정확도, 시간, 자원 비용 간의 상호 교환 관계를 모델링하는 새로운 악성코드 분석 경제학 프레임워크를 제안한다.

실험 결과

연구 질문

• RQ1 기계학습 기법은 다양한 목표에서 악성코드 분석에 어떻게 현재 적용되고 있는가?
• RQ2 기계학습 기반 악성코드 분석에서 가장 흔히 사용되는 특징 유형은 무엇인가?
• RQ3 악성코드 탐지에서 가장 높은 성능을 보이는 기계학습 알고리즘은 무엇인가?
• RQ4 기존 악성코드 분석 연구에서 사용된 데이터셋의 주요 제한 사항은 무엇인가?
• RQ5 악성코드 분석의 경제적 비용은 정확도와 효율성과 어떻게 균형을 이룰 수 있는가?

주요 결과

• 종합 검토에서 정적 특징(예: API 호출, 파일 헤더)이 분석 오버헤드가 낮아 가장 자주 사용됨을 밝혀냈다.
• 기계학습 기반 악성코드 탐지에서 신경망과 앙상블 방법이 결정 트리와 같은 전통적 알고리즘보다 더 높은 탐지 정확도를 보였다.
• 데이터셋의 제한 사항, 특히 클래스 불균형과 실제 세계의 다양성 부족은 모델의 일반화 능력에 심각한 영향을 미친다.
• 많은 연구가 실제 세계의 악성코드 행동이나 진화를 반영하지 못하는 공개 데이터셋(VirusTotal 등)에 의존한다.
• 제안된 악성코드 분석 경제학 프레임워크는 높은 정확도를 가진 모델일수록 계산 및 시간 비용이 비례하지 않게 급격히 증가함을 드러냈다.
• 모델 정확도와 자원 효율성 사이에 명확한 상호 교환 관계가 존재하며, 실용적 구현 시 비용 인식 설계의 필요성이 제기된다.