[论文解读] BitAV: Fast Anti-Malware by Distributed Blockchain Consensus and Feedforward Scanning

Charles Noyes|arXiv (Cornell University)|Jan 7, 2016

Advanced Malware Detection Techniques参考文献 21被引用 73

一句话总结

BitAV 提出了一种去中心化、基于区块链的反恶意软件系统，通过分布式共识和前向扫描机制，实现 14 倍于传统方法的恶意软件检测速度，同时降低内存使用。通过利用一种新型区块链变体实现无需信任的签名分发，并借助分层布隆过滤器实现 O(1) 查找效率，BitAV 将扫描吞吐量提升至 350MB/s 以上，并将更新传播时间相比行业标准减少 500%。

ABSTRACT

I present the design and implementation of a novel anti-malware environment called BitAV. BitAV allows for the decentralization of the update and maintenance mechanisms of the software, traditionally performed by a central host, and uses a staggered scanning mechanism in order to improve performance. The peer-to-peer network maintenance mechanism lowered the average update propagation speed by 500% and is far less susceptible to targeted denial-of-service attacks. The feedforward scanning mechanism significantly improved end-to-end performance of the malware matching system, to a degree of an average 14x increase, by decomposing the file matching process into efficient queries that operate in verifiably constant time.

研究动机与目标

• 为解决尽管摩尔定律持续发展，但反恶意软件性能停滞不前的问题，即扫描速度未能跟上网络吞吐量的增长。
• 克服传统基于签名的杀毒系统对集中式更新服务器的依赖所引发的可扩展性与中心化风险。
• 设计一种系统，通过去中心化、密码学可验证的更新机制，实现快速、可扩展且无需信任的恶意软件检测。
• 通过一种新颖的前向扫描机制，实现常数时间（O(1)）签名匹配，从而提升端到端扫描性能。
• 构建一种社区驱动、开源的反恶意软件架构，能够抵御针对性的拒绝服务攻击，并减少威胁情报的偏见。

提出的方法

• 采用一种新型区块链变体，实现无需依赖中心化权威机构的去中心化、无信任恶意软件签名分发。
• 实现一种前向扫描机制，通过双层布隆过滤器结构（顶层为缓存高效的布隆过滤器，底层为更昂贵的布隆过滤器）将文件匹配分解为 O(1) 时间查询。
• 使用 CUDA 加速的 MD5 哈希算法进行批量签名生成，显著提升大文件缓冲区的处理性能。
• 设计一种 P2P 网络用于点对点更新传播，降低对中心化服务器的依赖，增强对拒绝服务攻击的抵御能力。
• 通过 AWS 实例和蜜罐进行真实世界模拟，测量传播速度，将 BitAV 的更新延迟与行业标准解决方案进行对比。
• 应用社交网络分析（OpenOrd 算法）以可视化并验证参与节点之间自然形成的 P2P 网络结构。

实验结果

研究问题

• RQ1 去中心化、基于区块链的系统是否能够实现比集中式更新模型更快的恶意软件签名传播速度？
• RQ2 使用分层布隆过滤器的前向扫描机制是否能在保持低内存使用的同时，将签名匹配时间减少至 O(1)？
• RQ3 P2P 网络架构在多大程度上提升了反恶意软件系统对针对性拒绝服务攻击的抵御能力？
• RQ4 BitAV 在扫描速度和更新传播方面与商业及开源杀毒解决方案相比表现如何？
• RQ5 社区驱动、密码学可验证的更新机制是否能够消除偏见并提升对恶意软件签名纳入的信任？

主要发现

• BitAV 相较于传统方法，平均实现了 14 倍的端到端扫描性能提升，吞吐量超过 350MB/s。
• 前向扫描机制实现了 O(1) 的签名查找时间，显著降低了延迟和内存开销。
• BitAV 相比行业标准解决方案，将平均更新传播时间减少了 500%，展现出对新型恶意软件威胁的卓越响应能力。
• P2P 网络结构在测试过程中自然形成，经社交网络分析验证，表明系统具备强大的去中心化特性和自组织能力。
• 由于更新与维护管道中不存在单一的中心化故障点，系统表现出高度的拒绝服务攻击抵御能力。
• 通过 VirusTotal 的 API 和自定义蜜罐进行的真实世界测试证实，BitAV 比商业解决方案更快速地检测到新型恶意软件样本。