[논문 리뷰] Malware Detection at the Microarchitecture Level using Machine Learning Techniques

Abigail Kwan|arXiv (Cornell University)|2020. 05. 25.

Advanced Malware Detection Techniques참고 문헌 26인용 수 5

한 줄 요약

이 논문은 하드웨어 성능 카운터(HPC)에서 유도된 마이크로아ーキ텍처 데이터를 기반으로 기계학습을 활용하여 악성코드를 높은 정확도로 분류하는 하드웨어 기반 악성코드 탐지 시스템을 제안한다. 이는 J48 및 JRip과 같은 경량 알고리즘을 사용한 이진 및 다중 클래스 분류 모델을 비교하여 복잡한 모델에 비해 강건성과 오진률 통제에서 뛰어나지만 약간 낮은 정확도를 보이며, 마이크로아키텍처 수준에서 실시간 탐지에 효과적임을 입증한다.

ABSTRACT

Detection of malware cyber-attacks at the processor microarchitecture level has recently emerged as a promising solution to enhance the security of computer systems. Security mechanisms, such as hardware-based malware detection, use machine learning algorithms to classify and detect malware with the aid of Hardware Performance Counters (HPCs) information. The ML classifiers are fed microarchitectural data extracted from Hardware Performance Counters (HPCs), which contain behavioral data about a software program. These HPCs are captured at run-time to model the program's behavior. Since the amount of HPCs are limited per processor, many techniques employ feature reduction to reduce the amount of HPCs down to the most essential attributes. Previous studies have already used binary classification to implement their malware detection after doing extensive feature reduction. This results in a simple identification of software being either malware or benign. This research comprehensively analyzes different hardware-based malware detectors by comparing different machine learning algorithms' accuracy with binary and multi-class classification models. Our experimental results indicate that when compared to complex machine learning models (e. g. Neural Network and Logistic), light-weight J48 and JRip algorithms perform better in detecting the malicious patterns even with the introduction of multiple types of malware. Although their detection accuracy slightly lowers, their robustness (Area Under the Curve) is still high enough that they deliver a reasonable false positive rate.

연구 동기 및 목표

• 하드웨어 성능 카운터(HPC)에서 유도된 마이크로아키텍처 데이터를 활용한 기계학습 모델의 악성코드 탐지 효과성을 조사하는 것.
• 악성코드 탐지 정확도와 강건성에서 이진 분류와 다중 클래스 분류 접근 방식의 비교.
• 실시간 악성코드 탐지에서 경량 기계학습 알고리즘(J48, JRip 등)과 복잡한 모델(신경망, 로지스틱 회귀 등)의 성능 평가.
• 탐지 능력을 유지하면서 특성 차원을 감소시키기 위한 특성 감소 기법의 적용.
• 하드웨어 기반 악성코드 탐지 시스템에서 탐지 정확도와 오진률 간의 상충 관계 평가.

제안 방법

• 프로그램 실행 패턴을 나타내기 위해 런타임 마이크로아키텍처 동작 데이터를 하드웨어 성능 카운터(HPC)에서 수집한다.
• 탐지에 가장 필수적인 속성에 집중하기 위해 HPC 수를 최소화하는 특성 감소 기법을 적용한다.
• 감소된 HPC 특성 집합에 기반해 J48, JRip, 신경망, 로지스틱 회귀 등의 다양한 기계학습 분류기 모델을 훈련한다.
• 비교 분석을 위해 이진(악성코드/정상) 및 다중 클래스(다양한 악성코드 유형) 분류 모델을 모두 구현한다.
• 정확도, ROC 곡선 아래 면적(AUC), 오진률 등의 지표를 사용해 모델 성능을 평가한다.
• 신뢰성 있는 모델 간 비교를 위해 교차 검증 및 표준 평가 프로토콜을 적용한다.

실험 결과

연구 질문

• RQ1 다양한 기계학습 알고리즘이 마이크로아키텍처 HPC 데이터를 활용해 악성코드를 분류하는 데 어떻게 성능을 내는가?
• RQ2 다양한 악성코드 유형을 탐지하는 데 있어 이진 분류와 다중 클래스 분류의 비교적 효과성은 어떠한가?
• RQ3 J48 및 JRip와 같은 경량 기계학습 모델은 복잡한 모델에 비해 높은 강건성과 낮은 오진률을 유지하는가?
• RQ4 특성 감소는 하드웨어 기반 악성코드 탐지에서 탐지 정확도와 모델 효율성에 어떤 영향을 미치는가?
• RQ5 다양한 분류 모델 간 탐지 정확도와 오진률 간의 상충 관계는 어떠한가?

주요 결과

• 신경망 및 로지스틱 회귀와 같은 복잡한 모델에 비해 J48 및 JRip와 같은 경량 기계학습 모델이 ROC 곡선 아래 면적(AUC) 측정 기준으로 더 높은 강건성을 확보한다.
• 약간 낮은 탐지 정확도를 보일지라도 J48 및 JRip는 합리적인 오진률을 유지하여 실시간 배포에 적합하다.
• 다중 클래스 분류 모델은 이진 분류에 비해 다양한 악성코드 가족에 대한 탐지 능력이 향상됨을 보였다.
• 특성 감소 기법은 모델 성능에 큰 영향을 주지 않으면서도 HPC 차원을 효과적으로 감소시켰다.
• HPC 데이터의 활용은 소프트웨어의 행동 프로파일링을 효과적으로 가능하게 하여 마이크로아키텍처 수준에서 악성 패턴을 탐지할 수 있도록 했다.
• 결과적으로 실질적인 악성코드 탐지 시스템에서는 원시 정확도보다 강건성과 낮은 오진률이 우선시됨을 시사한다.