[论文解读] HeNet: A Deep Learning Approach on Intel$^\circledR$ Processor Trace for Effective Exploit Detection

Li Chen, Salmin Sultana+1 more|arXiv (Cornell University)|Jan 8, 2018

Advanced Malware Detection Techniques参考文献 17被引用 4

一句话总结

HeNet 是一种分层深度学习模型，利用 Intel® 处理器跟踪（Intel® PT）将底层控制流跟踪转换为时间序列图像，用于恶意软件检测。通过在这些图像上应用迁移学习，并对跟踪片段的结果进行集成，HeNet 在检测针对 Adobe® Reader 的 ROP 攻击时实现了 100% 的准确率和 0% 的误报率，优于传统机器学习方法，并在动态执行跟踪中表现出对对抗性扰动的鲁棒性。

ABSTRACT

This paper presents HeNet, a hierarchical ensemble neural network, applied to classify hardware-generated control flow traces for malware detection. Deep learning-based malware detection has so far focused on analyzing executable files and runtime API calls. Static code analysis approaches face challenges due to obfuscated code and adversarial perturbations. Behavioral data collected during execution is more difficult to obfuscate but recent research has shown successful attacks against API call based malware classifiers. We investigate control flow based characterization of a program execution to build robust deep learning malware classifiers. HeNet consists of a low-level behavior model and a top-level ensemble model. The low-level model is a per-application behavior model, trained via transfer learning on a time-series of images generated from control flow trace of an execution. We use Intel$^\circledR$ Processor Trace enabled processor for low overhead execution tracing and design a lightweight image conversion and segmentation of the control flow trace. The top-level ensemble model aggregates the behavior classification of all the trace segments and detects an attack. The use of hardware trace adds portability to our system and the use of deep learning eliminates the manual effort of feature engineering. We evaluate HeNet against real-world exploitations of PDF readers. HeNet achieves 100\% accuracy and 0\% false positive on test set, and higher classification accuracy compared to classical machine learning algorithms.

研究动机与目标

• 解决静态分析和基于 API 的动态恶意软件检测方法的局限性，这些方法易受混淆和对抗性输入的影响。
• 开发一种可移植、可扩展的恶意软件检测系统，利用硬件生成的控制流跟踪以提升鲁棒性。
• 通过使用底层控制流数据包作为深度学习模型的输入，消除手动特征工程。
• 通过在图像化控制流跟踪上应用分层集成学习，提高检测准确率并降低误报率。
• 通过分析控制流行为中的扰动，评估模型对对抗性攻击的抗性。

提出的方法

• 将 Intel® PT 生成的控制流跟踪数据包转换为表示指令执行路径的二维像素图像序列。
• 通过迁移学习在源自控制流跟踪的高分辨率图像序列上训练低层级深度神经网络，以建模特定应用程序的行为。
• 使用顶层集成模型聚合所有跟踪片段的预测结果，检测指示恶意执行的异常行为。
• 通过高分辨率与低分辨率模型的凸组合优化准确率和误报率，其中超参数 α 经调优以实现最佳性能。
• 利用间接跳转和条件跳转跟踪的细粒度特性，捕捉程序行为中细微的偏离。
• 利用在图像序列上训练的 ResNet 架构，对良性与恶意控制流模式进行分类。

实验结果

研究问题

• RQ1 由 Intel® PT 生成的控制流跟踪能否被有效转换为适合基于深度学习的恶意软件分类的图像表示？
• RQ2 结合迁移学习行为模型的分层集成模型是否相比传统机器学习方法能提高检测准确率并降低误报率？
• RQ3 HeNet 模型在保留应用程序功能但改变执行路径的控制流对抗性扰动下，其鲁棒性如何？
• RQ4 基于硬件的跟踪是否能提升恶意软件检测系统在不同操作系统和硬件平台上的可移植性和可扩展性？
• RQ5 在低分辨率与高分辨率模型的集成中，模型分辨率与性能之间的最优权衡是什么？

主要发现

• HeNet 在针对 Adobe® Reader 的真实世界 ROP 攻击测试集中实现了 100% 的检测准确率和 0% 的误报率。
• 采用凸组合（α = 0.5）的集成模型实现了 98.31% 的准确率和 0.29% 的误报率，优于单独的高分辨率和低分辨率模型。
• 高分辨率模型（224×224×3）实现了 98.1% 的准确率和 0.73% 的误报率，而低分辨率模型（28×28×3）实现了 97.6% 的准确率和 0.22% 的误报率。
• 迁移学习使低层级行为模型快速收敛，训练在 10 个周期内即趋于稳定。
• 由于使用了硬件级控制流跟踪，系统表现出高度的可移植性和可扩展性，且与操作系统或软件栈无关。
• 该模型对对抗性控制流操纵表现出强韧的抗性，因为细粒度的行为建模使得在不被检测的情况下注入恶意跳转变得极为困难。