[論文レビュー] Malware Detection Using Frequency Domain-Based Image Visualization and Deep Learning

Tajuddin Manhar Mohammed, Lakshmanan Nataraj+3 more|arXiv (Cornell University)|Jan 26, 2021

Advanced Malware Detection Techniques参考文献 71被引用数 5

ひとこと要約

本稿では、バイナリのバイグラム（N=2）の離散コサイン変換（DCT）ドメイン周波数カウントを用いて、Windows実行可能バイナリをグレースケール画像に可視化する新規なマルウェア検出手法を提案する。その後、深層学習（特に浅い畳み込みニューラルネットワーク（CNN）や転移学習ベースのResNetなど）を用いて分類を実行する。本手法は新規の大規模データセットMaleX上で96%のバイナリ分類精度を達成し、アンサンブル特徴融合と誤差駆動型の共同メトリクス設計により、優れた汎化性能と耐障害性を示した。

ABSTRACT

We propose a novel method to detect and visualize malware through image classification. The executable binaries are represented as grayscale images obtained from the count of N-grams (N=2) of bytes in the Discrete Cosine Transform (DCT) domain and a neural network is trained for malware detection. A shallow neural network is trained for classification, and its accuracy is compared with deep-network architectures such as ResNet that are trained using transfer learning. Neither dis-assembly nor behavioral analysis of malware is required for these methods. Motivated by the visual similarity of these images for different malware families, we compare our deep neural network models with standard image features like GIST descriptors to evaluate the performance. A joint feature measure is proposed to combine different features using error analysis to get an accurate ensemble model for improved classification performance. A new dataset called MaleX which contains around 1 million malware and benign Windows executable samples is created for large-scale malware detection and classification experiments. Experimental results are quite promising with 96% binary classification accuracy on MaleX. The proposed model is also able to generalize well on larger unseen malware samples and the results compare favorably with state-of-the-art static analysis-based malware detection algorithms.

研究の動機と目的

• デシリアライズや動作分析を必要とせず、高精度かつ低計算量なマルウェア検出を実現すること。
• マルウェアバイナリの周波数ドメイン表現が、空間ドメインのバイトプロットと比較して、深層学習に適したより判別性の高い視覚的パターンを生み出せるかどうかを検証すること。
• データ駆動型のマルウェア検出および分類研究を支援するため、大規模かつバランスの取れたデータセット（MaleX）を構築すること。
• DCTベースとバイトプロット画像特徴を最適に統合できる共同特徴メトリクスを設計し、アンサンブルモデルの性能を向上させること。
• 転移学習およびファインチューニング戦略を用いて、未観測でより大きなマルウェアサンプルに対する深層学習モデルの汎化能力を評価すること。

提案手法

• Windows実行可能バイナリの生バイトを、離散コサイン変換（DCT）ドメインにおけるバイグラム（N=2）の周波数カウントを計算することで、グレースケール画像に変換する。
• DCTベースの画像表現を用いて、バイナリマルウェア分類を目的とした浅い3C2D畳み込みニューラルネットワーク（CNN）を訓練する。
• 事前学習済みのResNet-18およびResNet-50アーキテクチャを用い、DCTベースの画像にファインチューニングを施した転移学習を適用し、分類精度を向上させる。
• バイトプロット画像およびDCTベースの画像からグローバルなGIST記述子を抽出し、学習済みの深層特徴と比較する。
• 誤差解析を用いて、DCTベースとバイトプロット画像特徴を最適に統合する共同特徴メトリクスを設計し、アンサンブルモデルに統合する。
• すべてのモデルの学習・検証・テストに使用する、864,669個のマルウェアおよび179,725個の健全なサンプルを含む大規模かつバランスの取れたデータセット（MaleX）を用いる。

実験結果

リサーチクエスチョン

• RQ1 DCT変換されたバイグラムカウントから得られる周波数ドメイン表現が、深層学習に適した視覚的に整合性があり、判別性の高いパターンを生成できるか？
• RQ2 DCTベースの画像に学習された浅いCNNの性能は、マルウェア検出タスクにおいて、ResNetのような転移学習ベースの深層ネットワークと比較してどうなるか？
• RQ3 DCTベースの画像とバイトプロット画像の特徴をアンサンブルモデルで統合することで、分類精度がどの程度向上するか？
• RQ4 提案手法の汎化能力は、特に分布外のテストセットにおけるAUCおよび精度の観点から、より大きな未観測のマルウェアサンプルに対し、どの程度良好に保たれるか？
• RQ5 提案された共同特徴メトリクスは、異種の特徴（DCT対バイトプロット）の統合をどのように改善し、マルウェア検出に貢献するか？

主な発見

• 提案されたDCTベースの画像可視化手法は、MaleXデータセット上で96%のバイナリ分類精度を達成し、従来の手作業特徴量を著しく上回った。
• 浅い3C2D CNNは、161,752個のマルウェアサンプルという比較的小さなトレーニングセットにもかかわらず、テストセットで83.60%の精度を達成し、良好な汎化性能を示した。
• ResNet-50を用いた転移学習により、86.20%の最高テスト精度を達成した。これは、より深いアーキテクチャがマルウェア画像表現における階層的特徴学習の恩恵を受けることを示している。
• 共同特徴メトリクスは、DCTベースとバイトプロット画像特徴を効果的に統合し、誤差解析およびアンサンブルモデリングによる検証を通じて、分類性能の向上を実現した。
• 浅いCNNモデルの受信器操作特性曲線（ROC）は、テストセットでAUC 0.9706を示し、優れた判別力と低い偽陽性率を示した。
• GIST特徴量を用いた標準分類器（k-NNおよびランダムフォレスト）は、本手法に劣っており、本研究の文脈において深層特徴量が手作業特徴量を上回ることを確認した。