[논문 리뷰] Tools and Techniques for Malware Detection and Analysis

Sajedul Talukder|arXiv (Cornell University)|2020. 02. 17.

Advanced Malware Detection Techniques참고 문헌 29인용 수 12

한 줄 요약

이 종합 논문은 기존의 서명 기반 방법의 한계를 극복하기 위해 기계학습 기법을 활용한 악성코드 탐지용 행동 분석 접근법을 제안한다. 다형성 및 다형성 악성코드에서 공통되는 행동 패턴을 식별함으로써, 정적 및 동적 분석을 통해 이전에 알려지지 않은 변종을 탐지하고 분류할 수 있으며, 제로데이 위협 탐지 능력을 크게 향상시킨다.

ABSTRACT

One of the major and serious threats that the Internet faces today is the vast amounts of data and files which need to be evaluated for potential malicious intent. Malicious software, often referred to as a malware that are designed by attackers are polymorphic and metamorphic in nature which have the capability to change their code as they spread. Moreover, the diversity and volume of their variants severely undermine the effectiveness of traditional defenses which typically use signature based techniques and are unable to detect the previously unknown malicious executables. The variants of malware families share typical behavioral patterns reflecting their origin and purpose. The behavioral patterns obtained either statically or dynamically can be exploited to detect and classify unknown malware into their known families using machine learning techniques. This survey paper provides an overview of techniques and tools for detecting and analyzing the malware.

연구 동기 및 목표

• 기존 서명 기반 탐지 방식에서 회피하는 다형성 및 다형성 악성코드의 증가하는 도전 과제를 해결하기 위해.
• 알 수 없는 또는 제로데이 악성코드 변종을 탐지하는 데 있어 서명 기반 기술의 한계를 극복하기 위해.
• 정적 및 동적 분석에서 유도된 행동 패턴을 활용해 악성코드 탐지 정확도를 향상시키기 위해.
• 기계학습을 활용해 알려지지 않은 악성코드를 기존 가족으로 분류함으로써 빠른 대응 및 완화를 가능하게 하기 위해.
• 현대 사이버 위협 환경에서 악성코드 탐지 및 분석을 위한 도구와 기법에 대한 종합적인 개요 제공하기 위해.

제안 방법

• 정적 및 동적 분석을 활용해 악성코드 샘플에서 행동 패턴을 추출하기 위해.
• 공통된 행동 특성에 기반해 알려지지 않은 악성코드를 탐지하고 분류하기 위해 기계학습 모델을 적용하기 위해.
• 악성코드 가족 간 공통 행동 특성을 식별함으로써 이전에 알려지지 않은 변종의 탐지 능력을 향상시키기 위해.
• 시스템 호출, API 사용 및 코드 구조에서 특징 추출 기법을 활용해 탐지 모델을 훈련하기 위해.
• 정적(코드 구조 분석)과 동적(런타임 행동 모니터링) 분석을 통합해 강력한 탐지 능력을 확보하기 위해.
• 클러스터링 및 분류 알고리즘을 활용해 행동 유사성에 기반해 악성코드를 가족으로 그룹화하기 위해.

실험 결과

연구 질문

• RQ1 정적 및 동적 분석을 통해 악성코드의 행동 패턴을 효과적으로 추출할 수 있는가?
• RQ2 기계학습 모델이 행동 유사성에 기반해 알려지지 않은 악성코드 변종을 어느 정도 탐지할 수 있는가?
• RQ3 서명 기반 탐지 기법이 다형성 및 다형성 악성코드를 식별하는 데에서 어떤 한계를 지닌다?
• RQ4 시스템 호출 및 API 사용에서 유도된 행동 특징이 악성코드 분류 정확도를 어떻게 향상시키는가?
• RQ5 진화하는 악성코드 가족을 분석하고 탐지하는 데 가장 효과적인 도구와 기법은 무엇인가?

주요 결과

• 행동 분석은 기존 서명 기반 방법에 비해 알려지지 않은 악성코드 탐지 능력을 크게 향상시킨다.
• 코드 가시화 조치가 이루어져도 악성코드 가족은 일관된 행동 패턴을 보이며, 이는 효과적인 분류를 가능하게 한다.
• 행동 특징에 기반해 훈련된 기계학습 모델은 서명 기반 도구보다 제로데이 악성코드를 더 높은 정확도로 탐지할 수 있다.
• 정적 및 동적 분석을 통합함으로써 악성코드 탐지 시스템의 강건성과 신뢰성을 향상시킬 수 있다.
• 이 방법은 새로운 악성코드를 기존 가족으로 빠르게 분류할 수 있어 위협 완화에 빠른 대응을 가능하게 한다.
• 이 종합 논문은 현대 악성코드 변종을 대규모로 분석하고 탐지하는 데 효과적인 핵심 도구와 기법을 규명한다.