[논문 리뷰] A New Generic Taxonomy on Hybrid Malware Detection Technique

Robiah Yusof, S. Siti Rahayu외 4명|ArXiv.org|2009. 09. 26.

Advanced Malware Detection Techniques참고 문헌 51인용 수 27

한 줄 요약

이 논문은 기존의 침입 탐지 시스템의 한계를 보완하기 위해 서명 기반 및 이질성 기반 탐지 방법을 통합하여 알려진 악성코드와 알려지지 않은 악성코드를 동시에 개선하고 거짓 경고를 줄이는 데 목적이 있는 새로운 일반적인 분류 체계인 하이브리드 악성코드 탐지 기법(Hybrid Malware Detection Technique, Hybrid MDT)을 제안한다. 이 분류 체계는 하이브리드 서명 탐지 및 이질성 기반 탐지, 하이브리드 사양 기반 탐지 및 이질성 기반 탐지를 조합하여 기존의 침입 탐지 시스템의 한계를 해결한다.

ABSTRACT

Malware is a type of malicious program that replicate from host machine and propagate through network. It has been considered as one type of computer attack and intrusion that can do a variety of malicious activity on a computer. This paper addresses the current trend of malware detection techniques and identifies the significant criteria in each technique to improve malware detection in Intrusion Detection System (IDS). Several existing techniques are analyzing from 48 various researches and the capability criteria of malware detection technique have been reviewed. From the analysis, a new generic taxonomy of malware detection technique have been proposed named Hybrid Malware Detection Technique (Hybrid MDT) which consists of Hybrid Signature and Anomaly detection technique and Hybrid Specification based and Anomaly detection technique to complement the weaknesses of the existing malware detection technique in detecting known and unknown attack as well as reducing false alert before and during the intrusion occur.

연구 동기 및 목표

• 기존의 악성코드 탐지 기법이 알려진 악성코드와 알려지지 않은 악성코드를 효과적으로 식별하는 데에 초래하는 한계를 해결하기 위해.
• 보완적인 탐지 전략을 통합하여 침입 탐지 시스템의 거짓 경고를 줄이기 위해.
• 다양한 악성코드 탐지 접근 방식을 통합하여 개선된 시스템의 내구성을 확보하기 위한 포괄적이고 일반적인 분류 체계를 개발하기 위해.
• 효과적인 악성코드 탐지에 필요한 핵심 능력 기준을 특정하기 위해 기존의 48개 연구 논문을 분석하기 위해.
• 다이나믹한 사이버 위협 환경에서 탐지 정확도와 적응성을 향상시키기 위한 하이브리드 프레임워크를 제안하기 위해.

제안 방법

• 기존의 48개의 악성코드 탐지 연구 논문을 종합하여 새로운 분류 체계인 하이브리드 악성코드 탐지 기법(Hybrid MDT)을 제안한다.
• 서명 기반 탐지와 이질성 기반 탐지를 통합하여 알려진 악성코드 및 제로데이 악성코드의 탐지 능력을 향상시킨다.
• 사양 기반 탐지와 이질성 기반 탐지를 조합하여 정밀도를 향상시키고 거짓 경고를 줄인다.
• 핵심 메커니즘에 따라 탐지 기법을 분류한다: 서명 기반, 이질성 기반, 사양 기반 접근 방식.
• 이중 분류 체계를 수립한다: 하나는 서명 기반과 이질성 기반 탐지를 조합한 것이고, 다른 하나는 사양 기반과 이질성 기반 탐지를 조합한 것이다.
• 기존 문헌의 체계적 리뷰를 통해 하이브리드 탐지 시스템의 핵심 성능 기준과 설계 원칙을 특정한다.

실험 결과

연구 질문

• RQ1 기존의 악성코드 탐지 기법을 체계적으로 분류하여 탐지 커버리지를 향상시킬 수 있는가?
• RQ2 실제 침입 탐지 시스템에서 현재의 서명 기반 및 이질성 기반 탐지 방법의 핵심 한계는 무엇인가?
• RQ3 탐지 기법의 하이브리드화가 높은 탐지율을 유지하면서도 거짓 경고를 줄일 수 있는가?
• RQ4 다양한 탐지 철학을 하나의 분류 체계에 효과적으로 통합할 수 있는 구조적 프레임워크는 무엇인가?
• RQ5 일반적인 분류 체계를 설계하여 알려진 악성코드와 알려지지 않은 악성코드 탐지의 정확도와 확장성을 향상시킬 수 있는가?

주요 결과

• 제안된 하이브리드 악성코드 탐지 기법(Hybrid MDT) 분류 체계는 서명 기반 및 이질성 기반 탐지를 효과적으로 통합하여 알려진 악성코드와 알려지지 않은 악성코드의 탐지 능력을 향상시킨다.
• 하이브리드 사양 기반 및 이질성 기반 탐지 접근 방식은 침입 탐지 과정에서 거짓 경고 알림을 크게 줄인다.
• 보완적인 탐지 메커니즘을 조합함으로써 분류 체계는 향상된 적응성과 강건성을 확보한다.
• 48개의 연구 논문 분석 결과, 하이브리드 기법은 단일 방법 대비 탐지 커버리지와 정확도에서 뛰어난 성능을 보였다.
• 이 프레임워크는 향후 고도화된 침입 탐지 시스템 개발을 위한 표준화되고 확장 가능한 모델을 제공한다.
• 본 연구는 탐지 기법의 하이브리드화가 더 내구성 있고 확장 가능한 악성코드 탐지 아키텍처를 구현하는 데 기여함을 확인한다.