[论文解读] A New Deep Boosted CNN and Ensemble Learning based IoT Malware Detection

Saddam Hussain Khan, Wasi Ullah|arXiv (Cornell University)|Dec 15, 2022

Advanced Malware Detection Techniques被引用 5

一句话总结

本文提出了一种新颖的深度学习框架——深度压缩增强与集成学习（DSBEL），用于物联网恶意软件检测，采用自定义的压缩增强边界区域分割-转换-合并（SB-BR-STM）卷积神经网络（CNN）与集成分类器。该模型通过利用多路径空洞卷积、边界区域操作和迁移学习，捕捉全局恶意模式，在物联网恶意软件（IoT_Malware）数据集上实现了98.50%的准确率、97.12%的F1分数和98.42%的精确率。

ABSTRACT

Security issues are threatened in various types of networks, especially in the Internet of Things (IoT) environment that requires early detection. IoT is the network of real-time devices like home automation systems and can be controlled by open-source android devices, which can be an open ground for attackers. Attackers can access the network credentials, initiate a different kind of security breach, and compromises network control. Therefore, timely detecting the increasing number of sophisticated malware attacks is the challenge to ensure the credibility of network protection. In this regard, we have developed a new malware detection framework, Deep Squeezed-Boosted and Ensemble Learning (DSBEL), comprised of novel Squeezed-Boosted Boundary-Region Split-Transform-Merge (SB-BR-STM) CNN and ensemble learning. The proposed STM block employs multi-path dilated convolutional, Boundary, and regional operations to capture the homogenous and heterogeneous global malicious patterns. Moreover, diverse feature maps are achieved using transfer learning and multi-path-based squeezing and boosting at initial and final levels to learn minute pattern variations. Finally, the boosted discriminative features are extracted from the developed deep SB-BR-STM CNN and provided to the ensemble classifiers (SVM, MLP, and AdabooSTM1) to improve the hybrid learning generalization. The performance analysis of the proposed DSBEL framework and SB-BR-STM CNN against the existing techniques have been evaluated by the IOT_Malware dataset on standard performance measures. Evaluation results show progressive performance as 98.50% accuracy, 97.12% F1-Score, 91.91% MCC, 95.97 % Recall, and 98.42 % Precision. The proposed malware analysis framework is robust and helpful for the timely detection of malicious activity and suggests future strategies

研究动机与目标

• 应对物联网环境中日益严峻的复杂恶意软件攻击挑战，解决传统检测方法在面对不断演化的威胁时缺乏鲁棒性的问题。
• 克服现有深度学习模型在捕捉物联网恶意软件中同质与异质全局恶意模式方面的局限性。
• 开发一种混合深度学习与集成学习框架，以提升实时物联网安全环境下的检测准确率、泛化能力与鲁棒性。
• 通过迁移学习与多路径特征工程，增强对恶意二进制文件中细微、微小模式变化的检测能力。
• 提供一种可扩展且高效的解决方案，用于在资源受限的物联网设备中实现恶意软件的早期检测，采用轻量化但强大的特征提取机制。

提出的方法

• 提出一种新颖的压缩增强边界区域分割-转换-合并（SB-BR-STM）CNN模块，结合多路径空洞卷积、边界感知操作与区域特征提取，以捕捉多样的恶意模式。
• 在CNN的初始层与最终层应用迁移学习，从预训练模型中提取判别性特征，增强恶意软件检测的表征学习能力。
• 实施基于多路径的压缩与增强机制，生成多样化的特征图，提升模型检测恶意行为细微差异的能力。
• 采用SVM（支持向量机）、MLP（多层感知机）与Adaboost（自适应提升）的集成分类器，以提升最终预测的泛化能力与鲁棒性。
• 在物联网恶意软件（IoT_Malware）数据集上端到端训练DSBEL框架，以准确率、F1分数与马修斯相关系数（MCC）作为关键性能指标进行优化。
• 采用混合学习策略，将SB-BR-STM CNN中增强的判别性特征输入集成分类器，以优化决策边界并减少过拟合。

实验结果

研究问题

• RQ1 具有多路径空洞卷积与边界区域操作的新型CNN架构，能否有效捕捉物联网恶意软件中同质与异质的恶意模式？
• RQ2 集成迁移学习与多路径压缩及增强机制，在多大程度上提升了物联网恶意软件检测中的特征表征能力与检测准确率？
• RQ3 所提出的集成学习框架（SVM、MLP、Adaboost）相较于单模型方法，在泛化能力与鲁棒性方面有何提升？
• RQ4 在物联网恶意软件（IoT_Malware）数据集上，DSBEL框架相较于现有最先进方法，在准确率、F1分数与MCC方面实现了哪些性能提升？
• RQ5 所提出的框架是否能在资源受限的物联网环境中保持高检测性能，同时具备实际部署的可行性？

主要发现

• DSBEL框架在物联网恶意软件（IoT_Malware）数据集上实现了98.50%的检测准确率，显著优于现有方法，能够有效识别恶意物联网二进制文件。
• 该模型获得97.12%的高F1分数，表明在分类良性与恶意样本时，精确率与召回率之间保持了良好平衡。
• 马修斯相关系数（MCC）达到91.91%，表明框架具备强大的预测质量与鲁棒性，尤其在数据集不平衡的情况下表现优异。
• 95.97%的召回率证实了该模型在正确识别大多数实际恶意软件实例方面的有效性。
• 98.42%的精确率表明，绝大多数被预测为恶意的样本确实为恶意软件，显著减少了误报。
• SB-BR-STM CNN中集成的迁移学习与多路径增强机制显著提升了特征判别能力，是模型卓越性能的重要贡献因素。