[論文レビュー] Unsupervised Anomaly-based Malware Detection using Hardware Features

Adrian Tang, Simha Sethumadhavan+1 more|arXiv (Cornell University)|Mar 7, 2014

Advanced Malware Detection Techniques被引用数 15

ひとこと要約

本稿では、シグネチャに依存せずにエクスプロイトステージのマルウェアを検出できる、ハードウェアパフォーマンスカウンタ（HPC）を用いた非教師あり異常検出手法を提案する。正常なプログラム動作をパワー変換を施した時系列集計HPCデータでモデル化し、非教師あり機械学習を適用することで、悪意あるコード実行によって引き起こされる微細な乖離を、実世界のWindows/x86システム（Internet ExplorerおよびAdobe PDF Readerを実行）でほぼ完璧な正確性で検出する。

ABSTRACT

Recent works have shown promise in using microarchitectural execution patterns to detect malware programs. These detectors belong to a class of detectors known as signature-based detectors as they catch malware by comparing a program's execution pattern (signature) to execution patterns of known malware programs. In this work, we propose a new class of detectors - anomaly-based hardware malware detectors - that do not require signatures for malware detection, and thus can catch a wider range of malware including potentially novel ones. We use unsupervised machine learning to build profiles of normal program execution based on data from performance counters, and use these profiles to detect significant deviations in program behavior that occur as a result of malware exploitation. We show that real-world exploitation of popular programs such as IE and Adobe PDF Reader on a Windows/x86 platform can be detected with nearly perfect certainty. We also examine the limits and challenges in implementing this approach in face of a sophisticated adversary attempting to evade anomaly-based detection. The proposed detector is complementary to previously proposed signature-based detectors and can be used together to improve security.

研究の動機と目的

• 既知のマルウェアシグネチャを必要とせず、未知またはゼロデイのエクスプロイトを検出できる、ハードウェアベースのマルウェア検出器の新規クラスを開発すること。
• マルウェアのエクスプロイトによって引き起こされるマイクロアーキテクチャ的実行異常が、パフォーマンスカウンタなどの低レベルハードウェア機能を用いて検出可能かどうかを調査すること。
• HPC分布の高い歪みに対処し、小さな乖離を統計的および時系列的信号強化によって拡大・検出する課題を克服すること。
• 現実の生産環境において、現実的な攻撃シナリオ下で、異常検出の実現可能性と耐障害性を評価すること。
• 本手法が、既存のシグネチャベース検出器とどのように補完的であるかを検討し、全体的なマルウェア防御の向上と早期警告能力の強化を図ること。

提案手法

• 本手法は、Internet Explorer や Adobe PDF Reader などの脆弱なアプリケーションの正常な実行から、マイクロアーキテクチャ的特徴をハードウェアパフォーマンスカウンタ（HPC）を用いて収集する。
• 歪みが著しいHPC分布における小さな乖離を強調するため、分散の安定化と変動の増幅を目的に、パワー変換（例：ボックス・コックス変換）を適用する。
• 時間窓内で複数のHPCサンプルを時系列的に集約することで、信号対雑音比を向上させ、一貫した行動的異常を検出する。
• 非教師あり機械学習モデル（例：クラスタリングまたは再構築ベース手法）を、正常な実行プロファイル上で学習させ、基本的な動作を学習する。
• 統計的距離尺度または再構築誤差を用いて、学習済みの正常プロファイルからの乖離を測定することで、異常を検出する。
• 本手法は、既知の脆弱性を制御的にエクスプロイトした状態で、実世界のWindows/x86システム上で評価される。

実験結果

リサーチクエスチョン

• RQ1 パワー変換を施したHPCを用いた非教師あり異常検出は、ペイロード配信の前段階である初期実行段階で、マルウェアのエクスプロイトを信頼性高く検出できるか？
• RQ2 HPCデータの高い歪みに対処しても、微細な乖離がどれほど効果的に拡大され、検出可能になるか？
• RQ3 本手法は、Internet Explorer や Adobe PDF Reader のような広く使われている複雑なソフトウェアにおける実世界のエクスプロイトをどれほど効果的に検出できるか？
• RQ4 高度な敵対的攻撃者が正常な動作を模倣するために微細にマイクロアーキテクチャ的特徴を調整する試みをしても、検出器の性能はどの程度維持されるか？
• RQ5 本異常ベースの手法は、既存のシグネチャベース検出器とどのように補完的であり、全体的なマルウェア検出カバレッジと早期警告能力を向上させられるか？

主な発見

• 提案された異常ベース検出器は、実世界のWindows/x86システムで、ほぼ完璧な確実性でマルウェアのエクスプロイトを検出でき、Internet Explorer や Adobe PDF Reader を標的としたエクスプロイトに対して高い検出正確性を達成した。
• パワー変換により、HPCデータにおける小さな乖離が効果的に拡大され、分布の正の歪みに対しても信頼性のある検出が可能になった。
• 複数のHPCサンプルの時系列的集約は、信号対雑音比を顕著に向上させ、微細な異常をより明確に可視化した。
• 一部の回避試行には耐性を示すが、熟練した攻撃者は微細に調整されたマイクロアーキテクチャ的特徴を用いて、正常な動作を模倣する試みを継続する可能性がある。
• 本検出器はシグネチャベースシステムと補完的であり、ペイロード実行の前段階でエクスプロイトを同定する早期警告メカニズムとして機能できる。
• 本研究は、ハードウェア特徴から得られるデータ駆動型のプログラム動作学習が、セキュリティ監視の分野で実現可能かつ有効であることを示した。