[논문 리뷰] The State-of-the-Art in AI-Based Malware Detection Techniques: A Review

Adam Wolsey|arXiv (Cornell University)|2022. 10. 12.

Advanced Malware Detection Techniques인용 수 8

한 줄 요약

이 논문은 PC, 클라우드, 안드로이드, IoT 등 다양한 플랫폼에서 얕은 학습(Shallow Learning), 딥 러닝(Deep Learning), 생물학적 영감을 받은 계산(Bio-Inspired Computing) 기반의 최신 AI 기반 악성코드 탐지 기법을 종합적으로 검토한다. AI의 双용성(이중 용도)을 강조하며, 악성코드 작성자들도 탐지 회피를 위해 AI를 활용하고 있음을 밝히고, 악성 AI 기반 사이버보안 분야의 현재 기법, 과제, 향후 연구 방향에 대한 포괄적인 분석을 제공한다.

ABSTRACT

Artificial Intelligence techniques have evolved rapidly in recent years, revolutionising the approaches used to fight against cybercriminals. But as the cyber security field has progressed, so has malware development, making it an economic imperative to strengthen businesses' defensive capability against malware attacks. This review aims to outline the state-of-the-art AI techniques used in malware detection and prevention, providing an in-depth analysis of the latest studies in this field. The algorithms investigated consist of Shallow Learning, Deep Learning and Bio-Inspired Computing, applied to a variety of platforms, such as PC, cloud, Android and IoT. This survey also touches on the rapid adoption of AI by cybercriminals as a means to create ever more advanced malware and exploit the AI algorithms designed to defend against them.

연구 동기 및 목표

• 다양한 컴퓨팅 플랫폼에서 최신 AI 기반 악성코드 탐지 기법을 종합적으로 검토하는 것.
• 현대 악성코드 탐지에서 얕은 학습, 딥 러닝, 생물학적 영감을 받은 계산의 효과성과 한계를 분석하는 것.
• 해당 기술이 악성코드 작성자들에 의해 악용되어 탐지 회피를 위한 악성 AI를 개발하는 추세를 분석하는 것.
• AI 기반 악성코드 방어 메커니즘의 연구 격차와 향후 연구 방향을 규명하는 것.
• 지속적으로 변화하는 사이버 위협에 대응하기 위해 강력하고 적응력 있으며 설명 가능한 AI 기반 악성코드 탐지 시스템 개발을 지원하는 것.

제안 방법

• 2020–2022년 사이의 최신 문헌을 대상으로 체계적 문헌 검토를 수행하며, 주로 동료 심사된 학술 저널과 컆퍼런스 논문에 집중한다.
• 탐지 기법을 세 가지 주요 유형으로 분류: 얕은 학습(예: SVM, Random Forest), 딥 러닝(예: CNN, RNN, Autoencoders), 생물학적 영감을 받은 계산(예: 유전자 알고리즘, 개미집단최적화).
• 정적, 동적, 하이브리드 특징을 악성코드 바이너리, 시스템 호출, API 행동에서 추출한 특징 공학 접근법 분석.
• VirusShare, CIC-MALDOS, Android 악성코드 데이터셋 등의 벤치마크 데이터셋을 활용해 정확도, F1-스코어, 정밀도, 재현율 등의 표준 지표를 사용해 모델 성능 평가.
• 모델의 강건성과 공격 상황에서의 일반화 능력을 평가하기 위해 악성 예외(examples) 및 회피 기법을 통합한다.
• PC, 클라우드, 안드로이드, IoT 환경 간 탐지 성능에 대한 교차 플랫폼 비교를 수행하며, 플랫폼별 특수 과제와 해결책을 도출한다.

실험 결과

연구 질문

• RQ1 다양한 컴퓨팅 플랫폼에서 악성코드를 탐지하는 데 가장 효과적인 AI 기반 기법은 무엇인가?
• RQ2 탐지 정확도와 강건성 측면에서 얕은 학습, 딥 러닝, 생물학적 영감을 받은 계산은 어떻게 비교되는가?
• RQ3 현대 악성코드 샘플이 AI 기반 시스템의 탐지 회피를 위해 얼마나 적극적으로 악성 AI를 활용하고 있는가?
• RQ4 실제 환경에 AI 기반 악성코드 탐지 기술을 구현할 때의 주요 한계와 열린 과제는 무엇인가?
• RQ5 어떻게 하면 AI 기반 탐지 시스템을 악성 공격과 모델 회피에 더 강건하게 만들 수 있는가?

주요 결과

• 정적 및 동적 특징을 기반으로 훈련된 경우, 특히 컨볼루션 신경망(CNN)과 순환 신경망(RNN)을 포함한 딥 러닝 모델이 기준 데이터셋에서 높은 탐지 정확도(95% 이상)를 달성한다.
• 유전자 알고리즘과 개미집단최적화와 같은 생물학적 영감을 받은 계산 기법은 특징 선택 및 모델 하이퍼파라미터 최적화에 유망한 성과를 보이며, 탐지 효율성을 향상시킨다.
• 무거운 계산 부담이 적고 실시간 탐지가 필요한 환경, 특히 IoT와 같은 자원 제약 환경에서는 얕은 학습 모델인 Random Forest와 XGBoost가 여전히 효과적이다.
• 악성 공격는 AI 기반 탐지기의 성능을 심각하게 저하시키며, 일부 모델은 표적 공격 상황에서 탐지 정확도가 최대 30% 감소하는 것으로 나타났다.
• 정적 및 동적 분석을 딥 러닝과 융합한 하이브리드 탐지 접근법은 다단계 탐지 시스템보다 뛰어난 성능을 보이며, 특히 다형성 및 변형 악성코드 탐지에 유리하다.
• 악성코드 작성자들이 AI를 신속하게 도입하고 있음에 따라, 악성 훈련 및 강건성 인식 모델 개발이 보안 격차를 메우기 위해 필수적이다.