[論文レビュー] Contextual Weisfeiler-Lehman Graph Kernel For Malware Detection

A. Sankara Narayanan, Guozhu Meng+3 more|arXiv (Cornell University)|Jun 21, 2016

Advanced Malware Detection Techniques参考文献 10被引用数 10

ひとこと要約

本稿では、マルウェア検出のためのプログラム表現グラフ（PRG）において、構造的近傍情報と到達可能性の文脈を両方とも捉える新しいグラフカーネル、文脈的ワイズフェイラーレーマングラフカーネル（CWLK）を提案する。CWLKは、F-measureにおいて最先端のグラフカーネルおよびマルウェア検出手法よりもそれぞれ5.27%および4.87%優れており、大規模なアンドロイドアプリ分析に適した線形時間の効率性を維持している。

ABSTRACT

In this paper, we propose a novel graph kernel specifically to address a challenging problem in the field of cyber-security, namely, malware detection. Previous research has revealed the following: (1) Graph representations of programs are ideally suited for malware detection as they are robust against several attacks, (2) Besides capturing topological neighbourhoods (i.e., structural information) from these graphs it is important to capture the context under which the neighbourhoods are reachable to accurately detect malicious neighbourhoods. We observe that state-of-the-art graph kernels, such as Weisfeiler-Lehman kernel (WLK) capture the structural information well but fail to capture contextual information. To address this, we develop the Contextual Weisfeiler-Lehman kernel (CWLK) which is capable of capturing both these types of information. We show that for the malware detection problem, CWLK is more expressive and hence more accurate than WLK while maintaining comparable efficiency. Through our large-scale experiments with more than 50,000 real-world Android apps, we demonstrate that CWLK outperforms two state-of-the-art graph kernels (including WLK) and three malware detection techniques by more than 5.27% and 4.87% F-measure, respectively, while maintaining high efficiency. This high accuracy and efficiency make CWLK suitable for large-scale real-world malware detection.

研究の動機と目的

• 単なる構造的近傍を越えて、悪意あるプログラム行動を検出するために不可欠な到達可能性の文脈を捉えることのできない、既存のグラフカーネルの限界を是正すること。
• プログラム表現グラフ（PRG）からのドメイン固有の文脈的情報を統合することで、マルウェア検出のためのグラフカーネルの表現力を向上させること。
• 最先端のグラフカーネルおよびマルウェア検出手法を著しく上回る検出精度を達成しながらも、高い効率性を維持するカーネルの開発。
• 構文ベースおよび構造のみに依存する検出手法を回避するマルウェアバージョンを検出する文脈的グラフ表現の優位性を実証すること。

提案手法

• 局所的な構造と経路ベースの文脈に基づいてラベルを伝搬させる、変更された頂点ラベル化スキームを用いて、ワイズフェイラーレーマン（WL）カーネルを拡張し、到達可能性の文脈を統合する。
• ルートノードからの経路に沿ったラベルの順序を追跡する文脈に配慮したラベル化プロセスを導入し、構造的には類似しているが文脈的に異なる近傍を区別できるようにする。
• 反復的に精錬されたラベル分布を比較することで、PRG間の類似度を計算する正定値カーネルとしてCWLKを設計し、トポロジー的および文脈的情報を両方保持する。
• カーネルを介してPRGの明示的特徴ベクトル表現を可能にし、SVMなどのカーネル化分類器との互換性を確保することで、スケーラブルなマルウェア検出を実現する。
• PRGの密度に比例する線形時間でカーネル計算を最適化し、大規模なアプリ分析におけるスケーラビリティを保証する。
• 実験的評価の主なPRGモデルとして、深さ制限h=2を設定したICFG（相互関数制御フローチャート）表現を用いる。

実験結果

リサーチクエスチョン

• RQ1 構造的近傍とその到達可能性の文脈の両方を捉えるグラフカーネルは、既存のグラフカーネルと比較してマルウェア検出精度を顕著に向上させることができるか？
• RQ2 PRGにおける文脈的情報の統合は、グラフベースのマルウェア検出モデルの表現力とパフォーマンスにどのように影響を与えるか？
• RQ3 提案されたCWLKカーネルは、大規模な実世界のマルウェアデータセットにおいて、優れた精度を達成しながらも高い効率性を維持できるか？
• RQ4 PRGにおける文脈的情報は、構文ベースおよび構造のみに依存する検出手法を回避するマルウェアバージョンを検出するのにどの程度有効か？

主な発見

• CWLKは、50,000件を超える実世界のアンドロイドアプリからなるデータセットにおいて、F-measure 95.82%（±0.66）を達成し、最先端のDrebin手法をF-measureで4.87%上回った。
• CWLKは、ワイズフェイラーレーマンカーネル（WLK）をF-measureで5.27%上回り、文脈的情報の統合が検出精度の向上に寄与することを実証した。
• CWLKは、PRG密度に対して線形時間の複雑性を維持しており、その表現力の向上にもかかわらず、大規模なマルウェア検出にスケーラブルである。
• CWLKは、精度97.15%（±0.28）および再現率94.53%（±0.75）を達成し、比較したすべての手法を両方の指標で上回った。
• 効率性の比較では、CWLKは他のPRGベースの手法（例：Allixら）と同等の性能を示し、Adagioのような重量級アプローチよりも顕著に高速であったが、非PRGベースの軽量手法ほど効率的ではなかった。
• 結果から、PRGにおける構造的および文脈的特徴の両方を捉えることが、優れた検出パフォーマンスをもたらすことが確認され、到達可能性の文脈が悪意ある行動を同定する上で重要なシグナルであるという仮説が妥当であることが裏付けられた。