[論文レビュー] Group-wise classification approach to improve Android malicious apps detection accuracy

Ashu Sharma, Sanjay K. Sahay|arXiv (Cornell University)|Apr 3, 2019

Advanced Malware Detection Techniques被引用数 7

ひとこと要約

本稿では、危険な権限に基づいてアプリをグループ化したグループ別分類アプローチを提案し、機械学習を適用する前にアプリをグループ化することで、Androidマルウェア検出の精度を向上させる。Drebinデータセットを用いた実験で、特徴選択（80〜100特徴）とグループ固有の分類器選択を最適化した結果、平均97.15%の検出精度を達成。これは先行研究を上回るものであり、カレンダーグループでは100%の精度、マイクグループでは最低の93.59%の精度を示した。

ABSTRACT

In the fast-growing smart devices, Android is the most popular OS, and due to its attractive features, mobility, ease of use, these devices hold sensitive information such as personal data, browsing history, shopping history, financial details, etc. Therefore, any security gap in these devices means that the information stored or accessing the smart devices are at high risk of being breached by the malware. These malware are continuously growing and are also used for military espionage, disrupting the industry, power grids, etc. To detect these malware, traditional signature matching techniques are widely used. However, such strategies are not capable to detect the advanced Android malicious apps because malware developer uses several obfuscation techniques. Hence, researchers are continuously addressing the security issues in the Android based smart devices. Therefore, in this paper using Drebin benchmark malware dataset we experimentally demonstrate how to improve the detection accuracy by analyzing the apps after grouping the collected data based on the permissions and achieved 97.15% overall average accuracy. Our results outperform the accuracy obtained without grouping data (79.27%, 2017), Arp, et al. (94%, 2014), Annamalai et al. (84.29%, 2016), Bahman Rashidi et al. (82%, 2017)) and Ali Feizollah, et al. (95.5%, 2017). The analysis also shows that among the groups, Microphone group detection accuracy is least while Calendar group apps are detected with the highest accuracy, and with the highest accuracy, and for the best performance, one shall take 80-100 features.

研究の動機と目的

• 従来の署名ベース手法を回避する高度なAndroidマルウェアを検出するという、増加する課題に対処する。
• Androidアプリの権限に基づくグループ化を静的解析の枠組みに組み込むことで、検出精度を向上させる。
• 各権限グループごとに特徴選択と分類器選択を最適化し、検出性能を最大化する。
• 既存の最先端手法と比較して優れた精度を示すことを実証する。

提案手法

• DrebinベンチマークデータセットのAndroidアプリを、宣言された危険な権限に基づいて9つの異なるカテゴリ（例：カレンダー、カメラ、マイク）にグループ化した。
• AndroidManifest.xmlおよび.smaliファイルから静的特徴を抽出し、権限、APIコール、システムコールに焦点を当てた。
• 各グループごとに上位80〜100の特徴を選択し、モデルの複雑さと検出性能のバランスをとった。
• 各権限グループに5つの分類器（ランダムフォレスト（RF）、ナイーブベイズツリー（NBT）、ロジスティックモデルツリー（LMT）、決定木（DT）、ファジィツリー（FT））を訓練した。
• 性能評価に基づき、各グループに特化した分類器選択を実施し、精度、真正陽性（TP）率、真正陰性（TN）率を最大化した。
• 交差検証を全権限グループに適用し、標準指標（精度、TP率、TN率）を用いて結果を評価した。

実験結果

リサーチクエスチョン

• RQ1 危険な権限に基づいてAndroidアプリをグループ化することで、静的マルウェア検出の精度が向上するか？
• RQ2 各権限ベースグループにおける、特徴と分類器の組み合わせの中で、最高の検出精度を達成するのはどれか？
• RQ3 提案手法のグループ別アプローチは、非グループ化検出手法および先行の最先端技術と比較して、性能で優れているか？
• RQ4 グループ別分類フレームワークにおいて、トレーニングおよびテストに最適な特徴数は何か？
• RQ5 どの権限グループが最も、最も困難に検出されるか？その理由は何か？

主な発見

• 提案されたグループ別分類アプローチは、全体の平均検出精度が97.15%に達し、Arpら（94%）、Ali Feizollahら（95.5%）などの先行手法を顕著に上回った。
• ランダムフォレスト（RF）分類器は、全グループにわたり最高かつ最も安定した平均精度を示し、特徴数の変動にほとんど影響を受けていなかった。
• カレンダー権限グループでは、RF分類器を用い、わずか20の特徴で100.00%の検出精度を達成した。
• マイクグループは、全グループ中最も低い検出精度（93.59%）を示し、マイク権限を持つアプリの検出がより困難であることを示した。
• 最適なパフォーマンスを得るため、本研究では各グループに80〜100の特徴を使用することを推奨する。この範囲が、精度と安定性の最良のバランスを生んだ。
• SMSグループでは、ファジィツリー（FT）分類器を用いた際、真正陽性（TP）率が最低の80%であった。一方、その他のグループはLMT分類器で96.80%の精度を達成し、最も適した分類器であった。