[論文レビュー] IoTMalware: Android IoT Malware Detection based on Deep Neural Network and Blockchain Technology.

Rajesh Kumar, Wenyong Wang+5 more|arXiv (Cornell University)|Feb 26, 2021

Advanced Malware Detection Techniques被引用数 7

ひとこと要約

本論文は、静的および動的アプリ特徴のマルチレベルクラスタリングと各クラスタごとの専用ニューラルネットワークを活用することで、リアルタイムでのAndroid IoTマルウェア検出を実現するブロックチェーン統合型ディープラーニングフレームワークを提案する。本システムは、不変の意思決定ログ記録と、アップロード／ダウンロード時にアプリを検証するカスタムスマートコントラクトを備えることで、多様なIoTデバイスにおける検出精度と適応性を向上させ、セキュリティを強化する。

ABSTRACT

The Internet of Things (IoT) has been revolutionizing this world by introducing exciting applications almost in all walks of daily life, such as healthcare, smart cities, smart environments, safety, remote sensing, and many more. This paper proposes a new framework based on the blockchain and deep learning model to provide more security for Android IoT devices. Moreover, our framework is capable to find the malware activities in a real-time environment. The proposed deep learning model analyzes various static and dynamic features extracted from thousands of feature of malware and benign apps that are already stored in blockchain distributed ledger. The multi-layer deep learning model makes decisions by analyzing the previous data and follow some steps. Firstly, it divides the malware feature into multiple level clusters. Secondly, it chooses a unique deep learning model for each malware feature set or cluster. Finally, it produces the decision by combining the results generated from all cluster levels. Furthermore, the decisions and multiple-level clustering data are stored in a blockchain that can be further used to train every specialized cluster for unique data distribution. Also, a customized smart contract is designed to detect deceptive applications through the blockchain framework. The smart contract verifies the malicious application both during the uploading and downloading process of Android apps on the network. Consequently, the proposed framework provides flexibility to features for run-time security regarding malware detection on heterogeneous IoT devices. Finally, the smart contract helps to approve or deny to uploading and downloading harmful Android applications.

研究の動機と目的

• 広範に展開されており、セキュリティリソースが限られていることから、急速に標的とされているAndroidベースのIoTデバイスにおけるマルウェア脅威に対処すること。
• 動的かつ変化しやすいIoT環境において、進化し多様化するマルウェアに対応できない従来のマルウェア検出手法の限界を克服すること。
• 多様なIoTデバイスの性能に適応し、進化するマルウェア行動にも対応できるスケーラブルでリアルタイムの検出フレームワークを開発すること。
• 特徴クラスターやモデル出力をブロックチェーン・レッセに保存することで、検出意思決定の信頼性と監査可能性を確保すること。
• カスタムスマートコントラクトを活用して、アップロードおよびダウンロード時にアプリの整合性を自動で検証し、悪意あるアプリの配布を防止すること。

提案手法

• 数千のAndroidアプリ（マルウェアおよび健全なアプリ）から静的および動的特徴を抽出し、ブロックチェーンで保護された分散型レッセに格納する。
• 行動的および構造的類似性に基づいて、マルウェア特徴を異なるセットに分類するためのマルチレベルクラスタリングを実施する。
• 各クラスタに対して特化したディープニューラルネットワークを訓練し、特定のマルウェアファミリーまたはパターンに最適化された検出精度を向上させる。
• アンサンブル学習の原則に従い、すべてのクラスタ固有モデルの出力を統合して、最終的なマルウェア検出意思決定を生成する。
• 検出意思決定およびクラスタリングデータをブロックチェーンに保存することで、改ざん不能性、追跡可能性、および更新済みデータを用いたモデル再訓練を実現する。
• アップロードおよびダウンロード時にアプリのメタデータと動作を検証するカスタムスマートコントラクトをブロックチェーン上に実装し、リアルタイムで不審なアプリをブロックする。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、異なるマルウェア特徴クラスタに対してディープラーニングモデルを効果的に特化させ、Android IoT環境における検出精度を向上させることができるか？
• RQ2 ブロックチェーン技術は、分散型IoTシステムにおけるマルウェア検出意思決定の信頼性と監査可能性をどの程度向上させることができるか？
• RQ3 ブロックチェーンフレームワークに統合されたスマートコントラクトメカニズムは、リアルタイムで悪意あるAndroidアプリのアップロードおよびダウンロードを効果的に防止できるか？
• RQ4 提案されたマルチレベルクラスタリングおよびモデル特化アプローチは、モノリシックなディープラーニングモデルと比較して、検出パフォーマンスをどの程度向上させるか？
• RQ5 分散型でブロックチェーンを基盤とするフレームワークを用いて、異種のIoTデバイス間でリアルタイムのマルウェア検出を維持することは可能か？

主な発見

• 提案されたフレームワークは、マルウェア特徴クラスタごとに特化したディープラーニングモデルを活用することで、Android IoTデバイス上でリアルタイムのマルウェア検出を実現する。
• ブロックチェーンの統合により、検出意思決定およびクラスタリングデータが改ざん不能かつ監査可能となり、システムの信頼性が向上する。
• カスタムスマートコントラクトは、アップロードおよびダウンロード時にアプリを効果的に検証し、IoTネットワーク上での悪意あるアプリの拡散リスクを低減した。
• マルチレベルクラスタリングとモデル特化アプローチにより、多様なマルウェア行動およびデータ分布に適応し、検出精度が向上した。
• モジュラー設計と分散アーキテクチャのおかげで、本システムは異種のIoTデバイスにおいてもスケーラビリティと適応性を示した。
• ブロックチェーンに格納された新しいデータを用いた再訓練により、専用モデルの継続的改善が可能であることが示された。