[논문 리뷰] Learning from Context: Exploiting and Interpreting File Path Information for Better Malware Detection
이 논문은 포터블 실행 파일(PE) 파일 내용과 파일 경로 정보를 함께 분석함으로써 정적 악성코드 탐지 성능을 향상시키는 다중 시각(multi-view) 딥러닝 모델을 제안한다. 실세계 고객 엔드포인트 데이터를 사용하여 기반 구조 변경을 최소화한 상태에서, 10⁻³ FPR에서 32.3%의 오소거률 감소, 10⁻⁴ FPR에서 33.1%의 오소거률 감소를 달성한다.
Machine learning (ML) used for static portable executable (PE) malware detection typically employs per-file numerical feature vector representations as input with one or more target labels during training. However, there is much orthogonal information that can be gleaned from the extit{context} in which the file was seen. In this paper, we propose utilizing a static source of contextual information -- the path of the PE file -- as an auxiliary input to the classifier. While file paths are not malicious or benign in and of themselves, they do provide valuable context for a malicious/benign determination. Unlike dynamic contextual information, file paths are available with little overhead and can seamlessly be integrated into a multi-view static ML detector, yielding higher detection rates at very high throughput with minimal infrastructural changes. Here we propose a multi-view neural network, which takes feature vectors from PE file content as well as corresponding file paths as inputs and outputs a detection score. To ensure realistic evaluation, we use a dataset of approximately 10 million samples -- files and file paths from user endpoints of an actual security vendor network. We then conduct an interpretability analysis via LIME modeling to ensure that our classifier has learned a sensible representation and see which parts of the file path most contributed to change in the classifier's score. We find that our model learns useful aspects of the file path for classification, while also learning artifacts from customers testing the vendor's product, e.g., by downloading a directory of malware samples each named as their hash. We prune these artifacts from our test dataset and demonstrate reductions in false negative rate of 32.3% at a $10^{-3}$ false positive rate (FPR) and 33.1% at $10^{-4}$ FPR, over a similar topology single input PE file content only model.
연구 동기 및 목표
- 단지 PE 파일 내용에 의존하는 정적 악성코드 탐지기의 한계를 해결하기 위해 파일 경로와 같은 맥락 정보를 고려하지 않는 문제를 다루기.
- 파일 경로는 본질적으로 악성 기능을 지니지 않지만, 악성 소프트웨어와 양성 소프트웨어를 구분하는 데 유용한 신호를 제공할 수 있는지 조사하기.
- PE 내용 특징과 파일 경로 표현을 융합하는 다중 시각 딥러닝 모델을 개발하여 탐지 성능을 향상시키기.
- 실제 고객 엔드포인트에서 수집한 대규모 실세계 상용 데이터셋을 사용해 모델의 실용적 관련성을 확보하기.
- LIME를 활용해 모델의 해석 가능성을 보장하여, 학습된 패턴이 데이터 아티팩트가 아닌 의미 있는 악성 히ュ리스틱을 반영하고 있는지 검증하기.
제안 방법
- 대규모 보안 벤더 네트워크를 통해 실제 사용자 엔드포인트에서 수집한 약 1,000만 개의 PE 파일과 그 파일 경로를 포함한 상용 규모의 데이터셋을 수집한다.
- 기본적인 정적 분석 기법을 사용해 PE 파일 내용으로부터 수치형 특징 벡터를 추출하고, 파일 경로는 고정 길이의 컨볼루션 신경망을 사용해 임베딩한다.
- PE 내용 특징와 파일 경로 임베딩을 입력으로 받는 다중 시각 신경망을 학습하며, 후기 융합(late fusion) 방식을 통해 두 입력을 통합하고 악성코드 신뢰도 점수를 출력한다.
- 실제 운영 환경을 시뮬레이션하고 데이터 누출을 방지하기 위해 시간 기반 분할 검증을 수행한다.
- 모델 결정을 해석하고, 어떤 경로 세그먼트가 탐지 점수에 가장 큰 영향을 미쳤는지 파악하기 위해 LIME(Local Interpretable Model-agnostic Explanations)를 적용한다.
- 해석 가능성 분 析를 통해 식별된 데이터 아티팩트(예: 해시 이름을 가진 테스트 샘플)를 제거하여 모델의 일반화 능력을 향상시킨다.
실험 결과
연구 질문
- RQ1파일 경로 정보는 PE 파일 내용 외부에서 의미 있는 보조 신호로 작용하여 정적 악성코드 탐지 성능을 향상시킬 수 있는가?
- RQ2PE 내용과 파일 경로 특징을 융합하는 다중 시각 딥러닝 모델이 실세계 배포 환경에서 내용 전용 기준 모델보다 우수한 성능을 보일 수 있는가?
- RQ3모델은 어떤 특정한 경로 패턴이나 구조를 악성 또는 양성 행동과 연관지워 학습하는가?
- RQ4모델 예측이 진정한 악성 히ュ리스틱이 아닌 데이터 아티팩트(예: 테스트 샘플의 이름)에 얼마나 의존하는가?
- RQ5LIME와 같은 해석 가능성 기법을 통해 파일 경로 데이터의 허위 신호를 식별하고 제거함으로써 모델의 강건성을 향상시킬 수 있는가?
주요 결과
- 다중 시각 PE+FP 모델은 내용 전용 모델 대비 10⁻³ 오진률에서 오소거률을 32.3% 감소시켰다.
- 10⁻⁴ 오진률에서 모델은 오소거률을 33.1% 감소시켜 낮은 FPR 환경에서 뛰어난 성능을 보였다.
- LIME 분 析 결과, 모델은 특정 경로 패턴(예: 오브스컬레이션 기법 또는 일반적인 악성코드 배포자 행동)을 더 높은 탐지 점수와 연관지워 학습했다.
- 모델은 또한 파일 경로에 해시 이름을 가진 샘플과 같은 허위 아티팩트를 학습하여, 이후 일반화 능력을 향상시키기 위해 제거하였다.
- 아티팩트를 포함한 샘플을 제거한 후 모델의 성능이 크게 향상되어, 맥락 정보는 적절히 정제되지 않으면 노이즈를 유발할 수 있음을 확인하였다.
- 이 방법은 파일 경로에 추가적인 엔드포인트 인스트루멘테이션 없이도 기존 정적 탐지 파이프라인에 쉽게 통합할 수 있어, 기반 인프라 변경을 최소화할 수 있다.
더 나은 연구,지금 바로 시작하세요
논문 읽기부터 검토까지, 연구 시간을 획기적으로 줄여보세요.
카드 등록 없음 · 무료 플랜 제공
이 리뷰는 AI가 만들고, 인간 에디터가 검토했습니다.