[논문 리뷰] Detection of Deviations in Mobile Applications Network Behavior

Lena Chekina, Dudu Mimran외 3명|arXiv (Cornell University)|2012. 07. 27.

Advanced Malware Detection Techniques참고 문헌 15인용 수 11

한 줄 요약

이 논문은 모바일 애플리케이션의 네트워크 트래픽 패턴을 분석하여 악성 행동을 탐지하는 경량이며 디바이스 내에서 작동하는 머신러닝 시스템을 제안한다. 이 시스템은 디바이스 내에서 훈련된 사용자별 맞춤형 모델과 서버 측 사용자 데이터로부터의 공동 모델을 사용하여 이질성을 탐지하며, 안드로이드 디바이스에서 최소한의 성능 오버헤드로 정확한 탐지를 달성한다.

ABSTRACT

In this paper a novel system for detecting meaningful deviations in a mobile application's network behavior is proposed. The main goal of the proposed system is to protect mobile device users and cellular infrastructure companies from malicious applications. The new system is capable of: (1) identifying malicious attacks or masquerading applications installed on a mobile device, and (2) identifying republishing of popular applications injected with a malicious code. The detection is performed based on the application's network traffic patterns only. For each application two types of models are learned. The first model, local, represents the personal traffic pattern for each user using an application and is learned on the device. The second model, collaborative, represents traffic patterns of numerous users using an application and is learned on the system server. Machine-learning methods are used for learning and detection purposes. This paper focuses on methods utilized for local (i.e., on mobile device) learning and detection of deviations from the normal application's behavior. These methods were implemented and evaluated on Android devices. The evaluation experiments demonstrate that: (1) various applications have specific network traffic patterns and certain application categories can be distinguishable by their network patterns, (2) different levels of deviations from normal behavior can be detected accurately, and (3) local learning is feasible and has a low performance overhead on mobile devices.

연구 동기 및 목표

• 데이터 유출 또는 정상 앱으로 위장하는 악성 애플리케이션으로부터 모바일 사용자와 셀룰러 인프라를 보호하기 위해.
• 악성 코드가 삽입된 유명 앱의 재패키징된 버전을 탐지하기 위해.
• 정적 분석에 의존하지 않고 네트워크 트래픽의 행동적 이질성을 실시간으로 디바이스 내에서 탐지할 수 있도록 하기 위해.
• 모바일 디바이스에서 로컬 학습의 타당성과 성능 영향을 평가하기 위해.
• 다양한 애플리케이션 카테고리 간에 구분 가능한 고유한 네트워크 트래픽 패턴이 존재하고, 이로 인해 이상치를 탐지할 수 있음을 입증하기 위해.

제안 방법

• 시스템은 두 가지 유형의 모델을 학습한다: 사용자별로 디바이스 내에서 훈련되는 로컬 모델과, 서버에서 여러 사용자의 트래픽 패턴을 집계한 공동 모델.
• 로컬 모델은 각 애플리케이션의 디바이스 내 통신에서 추출한 네트워크 트래픽 특징을 기반으로 머신러닝을 사용해 훈련된다.
• 네트워크 트래픽 특징에는 패킷 크기, 빈도, 대상 IP 주소, 프로토콜 유형 등이 포함된다.
• 이질성 탐지는 실시간 트래픽을 학습된 정상 행동과 비교하기 위해 통계적 및 머신러닝 기법을 사용하여 수행된다.
• 시스템은 이상 탐지 알고리즘을 사용하여 학습된 기준에서 크게 이탈한 트래픽 패턴을 경고로 표시한다.
• 성능 평가가 실제 애플리케이션 트래픽을 사용하여 안드로이드 디바이스에서 수행되어 탐지 정확도와 성능 오버헤드를 검증한다.

실험 결과

연구 질문

• RQ1 다양한 모바일 애플리케이션에서 정상 행동과 악성 행동을 신뢰성 있게 구분할 수 있는 고유한 네트워크 트래픽 패턴이 존재하는가?
• RQ2 로컬 디바이스 내 학습이 낮은 계산 오버헤드로 행동 이질성을 탐지할 수 있는가?
• RQ3 집계된 사용자 데이터로부터의 공동 모델이 희귀하거나 제로데이 공격에 대해 탐지 정확도를 향상시킬 수 있는가?
• RQ4 일부 애플리케이션 카테고리는 네트워크 행동 패턴으로 구분 가능한가?
• RQ5 네트워크 트래픽만으로 악성 페이로드가 숨겨진 재패키징된 앱을 탐지할 수 있는가?

주요 결과

• 다양한 모바일 애플리케이션은 카테고리별로 고유하고 식별 가능한 네트워크 트래픽 패턴을 보이며, 이는 카테고리 분류가 가능하다.
• 시스템은 정상 애플리케이션 행동에서 다양한 수준의 행동 이질성을 정확하게 탐지한다.
• 모바일 디바이스에서의 로컬 학습은 실현 가능하며 최소한의 성능 오버헤드를 유발하여 실시간 탐지가 실현 가능하다.
• 공동 모델은 개인 사용자 행동에서 드러나지 않는 이상치를 식별함으로써 탐지 능력을 향상시킨다.
• 이상적인 네트워크 통신을 관찰함으로써 악성 코드가 숨겨진 재패키징 애플리케이션을 성공적으로 탐지한다.
• 평가 결과, 네트워크 행동만으로도 악성 활동 탐지에 효과적으로 활용될 수 있음을 확인한다.