[论文解读] Feature Conservation in Adversarial Classifier Evasion: A Case Study.

Liang Tong, Bo Li+2 more|arXiv (Cornell University)|Aug 28, 2017

Advanced Malware Detection Techniques被引用 5

一句话总结

本文研究了在实际可实现的恶意软件对抗攻击中，特征空间模型在设计鲁棒机器学习分类器方面的有效性。结果表明，整合保守特征（即对恶意功能至关重要的特征）可显著提升鲁棒性，尤其是在基于结构的PDF恶意软件检测中，并能实现对多种实际可实现攻击的泛化防御。

ABSTRACT

Machine learning (ML) techniques are increasingly common in security applications, such as malware and intrusion detection. However, ML models are often susceptible to evasion attacks, in which an adversary makes changes to the input (such as malware) in order to avoid being detected. A conventional approach to evaluate ML robustness to such attacks, as well as to design robust ML, is by considering simplified feature-space models of attacks, where the attacker changes ML features directly to effect evasion, while minimizing or constraining the magnitude of this change. We investigate the effectiveness of this approach to designing robust ML in the face of attacks that can be realized in actual malware (realizable attacks). We demonstrate that in the context of structure-based PDF malware detection, such techniques appear to have limited effectiveness, but they are effective with content-based detectors. In either case, we show that augmenting the feature space models with conserved features (those that cannot be unilaterally modified without compromising malicious functionality) significantly improves performance. Finally, we show that feature space models enable generalized robustness when faced with a variety of realizable attacks, as compared to classifiers which are tuned to be robust to a specific realizable attack.

研究动机与目标

• 评估传统的特征空间模型在实际恶意软件中对可实现对抗攻击的鲁棒性是否具有泛化能力。
• 探究标准特征空间建模在基于结构的恶意软件检测中的局限性。
• 评估整合保守特征（即无法更改而不破坏恶意功能的特征）对分类器鲁棒性的影响。
• 比较针对单一攻击进行调优的分类器与针对多种可实现攻击的泛化鲁棒性。

提出的方法

• 设计特征空间模型，通过在机器学习特征上施加受控扰动来模拟对抗性扰动，同时限制变化幅度。
• 将这些模型应用于基于结构和基于内容的PDF恶意软件检测系统。
• 识别并整合保守特征——即对恶意行为至关重要、无法更改而不破坏功能的特征。
• 评估对多种实际可实现攻击的鲁棒性，包括修改文件结构或内容的攻击。
• 比较在特征空间模型上训练的分类器（含与不含保守特征）在多种攻击类型下的表现。
• 衡量特征空间模型在多种实际可实现攻击上的泛化性能，与针对特定攻击调优的分类器进行对比。

实验结果

研究问题

• RQ1 标准特征空间模型在防御实际可实现的恶意软件对抗攻击方面效果如何？
• RQ2 在基于结构的PDF恶意软件检测中，引入保守特征是否能提升鲁棒性？
• RQ3 基于保守特征训练的特征空间模型能否在多种实际可实现攻击中实现泛化？
• RQ4 与针对单一实际可实现攻击调优的分类器相比，基于特征空间模型的泛化鲁棒性如何？

主要发现

• 标准特征空间模型在基于结构的PDF恶意软件检测中对可实现攻击的防御效果有限。
• 整合保守特征显著提升了基于结构和基于内容的检测器的鲁棒性。
• 包含保守特征的特征空间模型在多种实际可实现攻击中实现了泛化鲁棒性。
• 针对单一实际可实现攻击调优的分类器无法泛化，而基于保守特征空间模型的分类器在多种攻击变体中仍保持性能。