[论文解读] Bio-inspired data mining: Treating malware signatures as biosequences

Ajit Narayanan, Yi Chen|arXiv (Cornell University)|Feb 15, 2013

Bacteriophages and microbial interactions参考文献 32被引用 3

一句话总结

本文提出将计算机恶意软件签名视为氨基酸序列，以利用生物信息学技术提升恶意软件分类性能。通过使用多序列比对技术对病毒和蠕虫签名进行对齐，并对保守区域与非保守区域应用机器学习方法，该方法在分类准确率上优于传统方法，展示了生物启发式数据挖掘技术在网络安全问题中的跨领域适用性。

ABSTRACT

The application of machine learning to bioinformatics problems is well established. Less well understood is the application of bioinformatics techniques to machine learning and, in particular, the representation of non-biological data as biosequences. The aim of this paper is to explore the effects of giving amino acid representation to problematic machine learning data and to evaluate the benefits of supplementing traditional machine learning with bioinformatics tools and techniques. The signatures of 60 computer viruses and 60 computer worms were converted into amino acid representations and first multiply aligned separately to identify conserved regions across different families within each class (virus and worm). This was followed by a second alignment of all 120 aligned signatures together so that non-conserved regions were identified prior to input to a number of machine learning techniques. Differences in length between virus and worm signatures after the first alignment were resolved by the second alignment. Our first set of experiments indicates that representing computer malware signatures as amino acid sequences followed by alignment leads to greater classification and prediction accuracy. Our second set of experiments indicates that checking the results of data mining from artificial virus and worm data against known proteins can lead to generalizations being made from the domain of naturally occurring proteins to malware signatures. However, further work is needed to determine the advantages and disadvantages of different representations and sequence alignment methods for handling problematic machine learning data.

研究动机与目标

• 探索将非生物数据（如恶意软件签名）表示为生物序列以提升机器学习性能的可行性。
• 评估既有的生物信息学工具（尤其是多序列比对）是否能提升恶意软件的检测与分类性能。
• 探究已知蛋白质数据库是否可用于将恶意软件签名的发现推广至生物序列。
• 比较不同序列表示方法与比对方法在处理复杂、可变长度恶意软件数据时的有效性。
• 确定生物信息学技术在网络安全数据挖掘中实现跨领域迁移是否能带来实际优势。

提出的方法

• 使用预定义映射方案将60种病毒和60种蠕虫的恶意软件签名转换为氨基酸表示。
• 采用两阶段多序列比对流程：首先分别在病毒家族与蠕虫家族内部进行比对，然后对全部120个签名进行全局比对，以识别非保守区域。
• 通过第二步全局比对解决了病毒与蠕虫签名之间的长度差异问题。
• 将对齐后的序列作为输入，应用于多种机器学习技术进行分类与预测。
• 通过与已知蛋白质数据库交叉比对验证结果，评估其生物学相关性与泛化潜力。
• 评估了不同序列表示方法与比对算法对分类准确率的影响。

实验结果

研究问题

• RQ1 将恶意软件签名表示为氨基酸序列是否能提升机器学习模型在恶意软件分类中的性能？
• RQ2 多序列比对技术在识别恶意软件家族中保守区域与可变区域方面的有效性如何？
• RQ3 在恶意软件签名中发现的模式是否能与蛋白质数据库中的已知生物序列产生有意义的关联？
• RQ4 不同序列表示方法与比对方法在恶意软件数据处理中的相对优缺点是什么？
• RQ5 生物信息学工具在多大程度上能增强传统网络安全数据挖掘应用？

主要发现

• 采用氨基酸表示与多序列比对显著提升了分类准确率，优于基线机器学习方法。
• 两阶段比对流程成功解决了病毒与蠕虫签名间的长度差异，实现了稳定的比较。
• 全局比对步骤中识别出的非保守区域为区分不同恶意软件家族提供了有价值特征。
• 与已知蛋白质数据库的交叉比对揭示了出人意料的相似性，表明从生物数据向恶意软件数据的泛化具有潜力。
• 本研究证明，生物信息学技术可有效适配于非生物数据挖掘，尤其在网络安全领域。
• 未来研究需系统评估不同表示与比对策略在恶意软件签名中的权衡。