[论文解读] Collective Intelligence: Decentralized Learning for Android Malware Detection in IoT with Blockchain

Rajesh Kumar, Wenyong Wang+4 more|arXiv (Cornell University)|Feb 26, 2021

Advanced Malware Detection Techniques参考文献 71被引用 9

一句话总结

本文提出了一种集成区块链的联邦学习框架，用于在物联网设备中实现Android恶意软件的实时检测，通过去中心化的本地神经网络（LNN）分析静态和动态特征，并利用私有区块链上的智能合约验证模型真实性并强制执行安全的应用程序上传/下载。该方法实现了96%的准确率和0.98的F-measure，优于现有最先进方法。

ABSTRACT

The widespread significance of Android IoT devices is due to its flexibility and hardware support features which revolutionized the digital world by introducing exciting applications almost in all walks of daily life, such as healthcare, smart cities, smart environments, safety, remote sensing, and many more. Such versatile applicability gives incentive for more malware attacks. In this paper, we propose a framework which continuously aggregates multiple user trained models on non-overlapping data into single model. Specifically for malware detection task, (i) we propose a novel user (local) neural network (LNN) which trains on local distribution and (ii) then to assure the model authenticity and quality, we propose a novel smart contract which enable aggregation process over blokchain platform. The LNN model analyzes various static and dynamic features of both malware and benign whereas the smart contract verifies the malicious applications both for uploading and downloading processes in the network using stored aggregated features of local models. In this way, the proposed model not only improves malware detection accuracy using decentralized model network but also model efficacy with blockchain. We evaluate our approach with three state-of-the-art models and performed deep analyses of extracted features of the relative model.

研究动机与目标

• 为应对由于来自不可信来源的应用程序安装增加而带来的Android恶意软件威胁日益增长的问题。
• 克服基于签名的检测方法和集中式深度学习模型在资源受限的物联网设备中的局限性。
• 通过去中心化模型训练和基于区块链的信任验证，实现实时、保护隐私的恶意软件检测。
• 确保模型完整性，并在模型聚合与部署过程中防止篡改。
• 为现实世界物联网环境中检测恶意Android应用程序提供可扩展、安全且准确的解决方案。

提出的方法

• 在非重叠、设备特定的数据分布上训练一种新型本地神经网络（LNN），利用静态和动态特征检测恶意软件。
• 使用基尼信息增益函数选择对模型训练和聚类最具相关性的特征。
• 根据特征分布将数据划分为聚类，并为每个聚类选择最优的深度学习模型进行恶意软件分类。
• 通过类似联邦学习的过程聚合模型权重，客户端间迭代更新最新权重。
• 私有区块链存储模型特征和哈希值，实现不可篡改的审计追踪和信任验证。
• 区块链上的智能合约在应用程序上传和下载过程中验证恶意软件状态，根据聚合模型输出批准或拒绝操作。

实验结果

研究问题

• RQ1 如何在资源受限的Android物联网设备中实现去中心化、保护隐私的恶意软件检测？
• RQ2 联邦学习与区块链的结合是否能提升Android恶意软件检测中模型的可信度和检测准确率？
• RQ3 所提出的框架在准确率和实时检测方面相比传统基于签名的检测方法和集中式深度学习方法有何优势？
• RQ4 基于区块链的智能合约验证在保护应用程序上传/下载过程中的作用是什么？
• RQ5 特征聚类和每个聚类的模型专业化如何影响整体检测性能？

主要发现

• 所提出的框架实现了96%的准确率和0.98的F-measure，显著优于现有方法，如DNN/RNN（90%）、CNN（90%）和多层感知机（89%）。
• 将区块链与联邦学习结合可确保模型真实性，并在模型聚合与部署过程中防止篡改。
• 区块链上的智能合约成功实现实时验证恶意软件状态，支持在应用程序上传和下载过程中进行动态访问控制。
• 基于基尼的特征选择提高了模型效率和检测性能，聚焦于高影响力特征。
• 该框架表现出计算能力比例与平均事务吞吐量之间的正相关性，表明在去中心化网络中具备可扩展性。
• 与以往基于区块链的恶意软件检测系统相比，本工作首次实现了实时检测和动态决策，而不仅限于日志记录或数据存储。