[论文解读] Deep Learning Models for Detecting Malware Attacks

Pascal Maniriho, Abdun Naser Mahmood+1 more|arXiv (Cornell University)|Sep 8, 2022

Advanced Malware Detection Techniques被引用 4

一句话总结

本文全面综述了用于在 Windows、Linux 和 Android 平台检测恶意软件的深度学习（DL）模型，强调了深度学习在自动化特征提取和处理大规模恶意软件数据集方面的优势。文章评估了关键的深度学习组件——架构、优化器、损失函数、激活函数、正则化方法及框架，同时识别出关键挑战，如对抗性攻击、计算成本以及针对 Linux 恶意软件检测的研究有限，并提出了未来构建鲁棒、实时且轻量级模型的研究方向。

ABSTRACT

Malware is one of the most common and severe cyber-attack today. Malware infects millions of devices and can perform several malicious activities including mining sensitive data, encrypting data, crippling system performance, and many more. Hence, malware detection is crucial to protect our computers and mobile devices from malware attacks. Deep learning (DL) is one of the emerging and promising technologies for detecting malware. The recent high production of malware variants against desktop and mobile platforms makes DL algorithms powerful approaches for building scalable and advanced malware detection models as they can handle big datasets. This work explores current deep learning technologies for detecting malware attacks on the Windows, Linux, and Android platforms. Specifically, we present different categories of DL algorithms, network optimizers, and regularization methods. Different loss functions, activation functions, and frameworks for implementing DL models are presented. We also present feature extraction approaches and a review of recent DL-based models for detecting malware attacks on the above platforms. Furthermore, this work presents major research issues on malware detection including future directions to further advance knowledge and research in this field.

研究动机与目标

• 提供对 Windows、Linux 和 Android 平台恶意软件检测中深度学习技术的系统性综述。
• 识别并分析关键的深度学习组件，如网络优化器、损失函数、激活函数和正则化技术。
• 考察特征提取方法以及针对桌面和移动平台的近期基于深度学习的恶意软件检测模型。
• 突出关键的研究空白，包括对抗性攻击、计算成本以及对 Linux 恶意软件检测关注不足的问题。
• 提出未来研究方向，以开发更鲁棒、实时且轻量级的基于深度学习的恶意软件检测系统。

提出的方法

• 调查并分类用于恶意软件检测的深度学习算法，包括卷积神经网络（CNNs）、循环神经网络（RNNs）和自编码器。
• 分析网络优化器（如 Adam、RMSProp）、损失函数（如二元交叉熵）和激活函数（如 ReLU、Leaky ReLU）。
• 评估正则化技术（如 Dropout 和批量归一化）以防止深度学习模型过拟合。
• 回顾 TensorFlow 和 PyTorch 等框架在实现基于深度学习的恶意软件检测系统中的应用。
• 评估特征提取方法，包括二进制图像表示、API 调用序列和基于权限的特征。
• 考察并行化策略（数据并行化和模型并行化），以减少训练时间并提升可扩展性。

实验结果

研究问题

• RQ1 在 Windows、Linux 和 Android 平台检测恶意软件方面，哪些深度学习架构和组件最为有效？
• RQ2 不同的损失函数、激活函数和正则化方法如何影响基于深度学习的恶意软件检测模型的性能？
• RQ3 在部署基于深度学习的恶意软件检测系统时，面临的主要挑战是什么，特别是对抗性攻击和计算成本方面？
• RQ4 为何基于深度学习的 Linux 系统恶意软件检测存在研究空白，其影响是什么？
• RQ5 未来如何设计深度学习模型，使其更具鲁棒性、轻量化，并适用于移动设备和边缘设备的实时部署？

主要发现

• 深度学习模型通过实现自动特征提取并有效处理大规模恶意软件数据集，优于传统机器学习方法。
• 对抗性攻击仍是重大威胁，因为对恶意软件二进制文件的微小扰动即可欺骗深度学习模型，使其漏检。
• 尽管 Linux 恶意软件攻击数量增长了 35%，且 XorDdos 等新型威胁日益严重，但现有研究中仅有极小部分聚焦于基于 Linux 的恶意软件检测。
• 模型并行化和数据并行化技术对于减少训练时间并实现基于深度学习的恶意软件检测系统的可扩展部署至关重要。
• 当前基于深度学习的恶意软件检测模型通常计算成本过高，缺乏实时效率，尤其在移动设备上表现更差。
• 未来在资源受限平台（如 Android 和嵌入式系统）上部署时，集成轻量化且鲁棒的架构至关重要。