[論文レビュー] Random Forest for Malware Classification

Felan Carlo C. Garcia, F.P. Muga|arXiv (Cornell University)|Sep 25, 2016

Advanced Malware Detection Techniques参考文献 4被引用数 44

ひとこと要約

本稿では、バイナリファイルをグレースケール画像に変換し、ランダムフォレストを用いてマルウェアを分類する新しいアプローチを提案する。画像ベースの表現とアンサンブル学習を活用することで、コードのオブスクリュケーションやシグネチャベースの検出回避に対しても、マルウェアファミリーを95.62%の正確さで特定する効果が示された。

ABSTRACT

The challenge in engaging malware activities involves the correct identification and classification of different malware variants. Various malwares incorporate code obfuscation methods that alters their code signatures effectively countering antimalware detection techniques utilizing static methods and signature database. In this study, we utilized an approach of converting a malware binary into an image and use Random Forest to classify various malware families. The resulting accuracy of 0.9562 exhibits the effectivess of the method in detecting malware

研究の動機と目的

• コードのオブスクリュケーションによって従来のシグネチャベースの検出を回避するマルウェアバリアントを分類する課題に対処すること。
• バイナリマルウェアを画像表現に変換する可能性を検討し、機械学習を用いた分類の改善を図ること。
• 画像エンコード済みバイナリを用いてランダムフォレストが異なるマルウェアファミリーを区別する性能を評価すること。
• 画像ベースの特徴表現とアンサンブル学習を組み合わせることで、マルウェア検出の正確性が向上することを示すこと。

提案手法

• バイナリマルウェアのバイト値をピクセルの明るさとして解釈することで、バイナリファイルをグレースケール画像に変換する。
• 画像表現はバイナリデータ内の構造的パターンを保持しており、視覚的特徴抽出が可能である。
• ランダムフォレストは、事前に定義されたファミリーにマルウェアを分類するように、意思決定木の集合を用いて画像データで学習する。
• フォレスト内の各木は、ランダムに選択された特徴量とトレーニングデータのサブセットに基づいて分類意思決定を行う。
• 最終的な予測は、フォレスト内のすべての木の予測結果を多数決によって決定する。
• この手法は、過学習に対するロバストネスと、高次元の画像入力に対する効果的な処理能力に依存している。

実験結果

リサーチクエスチョン

• RQ1 バイナリから画像への変換が、マルウェア分類に有用な特徴を効果的に保持できるか？
• RQ2 画像エンコード済みバイナリをトレーニングデータとして用いた場合、ランダムフォレストのマルウェアファミリー分類性能はどの程度か？
• RQ3 このアプローチは、従来のシグネチャベースやスタティック解析手法に比べてどの程度優れているか？
• RQ4 従来の検出を回避するオブスクリュケーションを施されたマルウェアバリアントに対しても、この手法は汎用性を示せるか？
• RQ5 画像ベースのランダムフォレストモデルは、実世界のマルウェア分類タスクにおいて、正確性とロバストネスの両面でどの程度の性能を示すか？

主な発見

• 提案手法は、テストされたマルウェアデータセットで95.62%の分類正確さを達成した。
• 画像ベースの表現は、マルウェアバイナリ内の構造的パターンを効果的に捉えており、信頼性の高いファミリー分類を可能にした。
• ランダムフォレストは、画像エンコード済みデータに対して優れた一般化性能と過学習への耐性を示した。
• このアプローチは、従来のシグネチャベース検出を回避する傾向があるコードのオブスクリュケーション技術の影響を効果的に軽減した。
• 画像ベースの特徴表現とアンサンブル学習の組み合わせは、従来のスタティック解析の代替手段として実用的で効果的であると示唆された。
• 高い正確性とロバストネスを備えていることから、リアルタイムのマルウェア検出システムへの導入に有望である。