[논문 리뷰] Towards an Automated Pipeline for Detecting and Classifying Malware through Machine Learning

Nicola Loi, Claudio Borile외 1명|arXiv (Cornell University)|2021. 06. 10.

Advanced Malware Detection Techniques인용 수 6

한 줄 요약

이 논문은 Windows PE 파일의 자동 정적 분석을 위한 기계학습 파이프라인을 제시하며, 악성코드 또는 양성으로 분류하고, 위협 유형, 가족, 행동까지 식별한다. EMBER 데이터셋으로 훈련된 파이프라인은 해석 가능한 결과를 제공하여 보안 분석가가 모델의 신뢰도를 평가하고 특성 공간의 시각화를 통해 악성코드 이해를 향상시킬 수 있다.

ABSTRACT

The constant growth in the number of malware - software or code fragment potentially harmful for computers and information networks - and the use of sophisticated evasion and obfuscation techniques have seriously hindered classic signature-based approaches. On the other hand, malware detection systems based on machine learning techniques started offering a promising alternative to standard approaches, drastically reducing analysis time and turning out to be more robust against evasion and obfuscation techniques. In this paper, we propose a malware taxonomic classification pipeline able to classify Windows Portable Executable files (PEs). Given an input PE sample, it is first classified as either malicious or benign. If malicious, the pipeline further analyzes it in order to establish its threat type, family, and behavior(s). We tested the proposed pipeline on the open source dataset EMBER, containing approximately 1 million PE samples, analyzed through static analysis. Obtained malware detection results are comparable to other academic works in the current state of art and, in addition, we provide an in-depth classification of malicious samples. Models used in the pipeline provides interpretable results which can help security analysts in better understanding decisions taken by the automated pipeline.

연구 동기 및 목표

• 기계학습을 활용한 자동화되고 확장 가능한 Windows PE 파일 분류 파이프라인을 개발하기 위해.
• 오염 기법을 사용하는 진화하는 악성코드를 탐지하는 데에 서명 기반 및 히وري스틱 방법의 한계를 해결하기 위해.
• 보안 분석가의 의사결정을 향상시키기 위해 해석 가능한 다수 수준의 분류(악성/양성, 위협 유형, 가족, 행동)를 제공하기 위해.
• 기본 탐지 기능을 넘어서 포괄적인 악성코드 분류를 위해 EMBER 데이터셋을 활용하기 위해.
• 정적 분석에서 데이터 희소성, 레이블 모호성, 특성 표현과 관련된 과제를 식별하고 완화하기 위해.

제안 방법

• 파이프라인은 PE 파일에서 반가공형 특징을 추출하기 위해 정적 분석을 사용하며, EMBER 데이터셋의 사전 처리된 특징을 활용한다.
• 이중 단계 분류 모델은 사전 훈련된 이진 분류기로써, 먼저 음성과 악성 샘플을 구분한다.
• 후속 단계에서는 다중 분류기들을 사용하여 악성 샘플을 위협 유형, 가족, 행동으로 분류한다.
• 분석가가 특성 공간의 시각화를 통해 예측의 신뢰도를 평가할 수 있도록 해석 가능한 모델을 파이프라인에 적용한다.
• 모델의 신뢰도는 미리 보지 않은 음성 샘플을 사용하여 평가되며, 비악성 파일을 구분하는 데 있어 뛰어난 강건성을 보여준다.
• 데이터 제약 조건을 고려하여 특성 공간의 구조를 분석하고, 모호하거나 낮은 신뢰도 영역을 식별한다.

실험 결과

연구 질문

• RQ1 정적 특징만을 사용하여 기계학습 파이프라인이 높은 정확도의 PE 파일 탐지 및 세분화된 분류를 달성할 수 있는가?
• RQ2 훈련 데이터가 희소할 경우, 분류 성능이 다양한 분류 단계에서 어떻게 변하는가?
• RQ3 레이블의 모호성과 악성코드의 패킹/암호화가 분류 신뢰도에 어느 정도 영향을 미치는가?
• RQ4 해석 가능한 기계학습 모델이 자동 악성코드 분류 결정에 대한 분석가의 이해를 향상시킬 수 있는가?
• RQ5 파이프라인은 후속 분류 단계에서 음성 샘플이 악성으로 잘못 분류되는 경우를 어떻게 처리하는가?

주요 결과

• 파이프라인은 EMBER 데이터셋에서 0.1%의 가짜 양성률에서 약 86.8%의 악성코드 탐지율을 기록하며, 최신 기술 수준의 성능을 달성한다.
• 데이터 희소성으로 인해 후속 단계에서 분류 성능이 저하되며, 각 분류 단계에서 훈련 샘플 수가 반으로 줄어든다.
• 다수의 분류 오류는 패킹 또는 암호화로 인해 발생하며, 이는 정적 분석을 어렵게 하고 특성의 구분 능력을 떨어뜨린다.
• 10만 개의 새로운 음성 샘플을 사용한 테스트에서, 모델은 음성 샘플을 거부하는 데 높은 신뢰도를 보이며, 초기 탐지 단계에서 강력한 일반화 능력을 입증한다.
• 특성 공간의 시각화 결과, 여러 악성코드 가족이나 행동이 겹치는 모호한 영역이 확인되어 모델의 불확실성을 나타낸다.
• 파이프라인의 해석 가능성 덕분에 분석가는 예측의 신뢰도를 평가할 수 있으며, 이는 실세계 적용에서 잘못된 경고를 줄이고 정보 기반의 우선순위 설정을 지원한다.