[论文解读] IoTMalware: Android IoT Malware Detection based on Deep Neural Network and Blockchain Technology.

Rajesh Kumar, Wenyong Wang+5 more|arXiv (Cornell University)|Feb 26, 2021

Advanced Malware Detection Techniques被引用 7

一句话总结

本文提出了一种集成区块链的深度学习框架，用于实时检测Android IoT设备中的恶意软件，通过静态和动态应用特征的多级聚类以及每个聚类专用的神经网络来实现。该系统通过不可篡改的决策日志记录和自定义智能合约在上传/下载过程中验证应用，从而提升检测准确率和在异构IoT设备上的适应能力。

ABSTRACT

The Internet of Things (IoT) has been revolutionizing this world by introducing exciting applications almost in all walks of daily life, such as healthcare, smart cities, smart environments, safety, remote sensing, and many more. This paper proposes a new framework based on the blockchain and deep learning model to provide more security for Android IoT devices. Moreover, our framework is capable to find the malware activities in a real-time environment. The proposed deep learning model analyzes various static and dynamic features extracted from thousands of feature of malware and benign apps that are already stored in blockchain distributed ledger. The multi-layer deep learning model makes decisions by analyzing the previous data and follow some steps. Firstly, it divides the malware feature into multiple level clusters. Secondly, it chooses a unique deep learning model for each malware feature set or cluster. Finally, it produces the decision by combining the results generated from all cluster levels. Furthermore, the decisions and multiple-level clustering data are stored in a blockchain that can be further used to train every specialized cluster for unique data distribution. Also, a customized smart contract is designed to detect deceptive applications through the blockchain framework. The smart contract verifies the malicious application both during the uploading and downloading process of Android apps on the network. Consequently, the proposed framework provides flexibility to features for run-time security regarding malware detection on heterogeneous IoT devices. Finally, the smart contract helps to approve or deny to uploading and downloading harmful Android applications.

研究动机与目标

• 应对Android物联网设备日益增长的恶意软件威胁，这些设备因广泛部署和安全资源有限而成为攻击目标。
• 克服传统恶意软件检测方法在动态IoT环境中应对不断演变的多态恶意软件时的局限性。
• 开发一种可扩展的实时检测框架，能够适应不同IoT设备的处理能力及不断变化的恶意软件行为。
• 通过将特征聚类和模型输出存储在区块链账本上，确保检测决策的可信性和可审计性。
• 通过定制化智能合约实现在上传和下载过程中自动验证应用完整性，防止恶意应用传播。

提出的方法

• 从数千个Android应用（恶意和良性）中提取静态和动态特征，并将它们存储在区块链保护的分布式账本中。
• 应用多级聚类，根据行为和结构相似性将恶意软件特征划分为不同的集合。
• 为每个聚类训练专用的深度神经网络，以提高针对特定恶意软件家族或模式的检测准确率。
• 通过集成学习原则，合并所有聚类特异性模型的输出，生成最终的恶意软件检测决策。
• 将检测决策和聚类数据存储在区块链上，以确保不可篡改性、可追溯性，并支持使用更新数据重新训练模型。
• 在区块链上实现自定义智能合约，以在上传和下载过程中验证应用元数据和行为，实时阻止可疑应用。

实验结果

研究问题

• RQ1 如何有效为不同恶意软件特征聚类定制深度学习模型，以提升Android IoT环境中检测的准确率？
• RQ2 区块链技术在多节点IoT系统中在多大程度上能增强恶意软件检测决策的可信度和可审计性？
• RQ3 与区块链框架集成的智能合约机制能否有效实现实时阻止恶意Android应用的上传和下载？
• RQ4 与单体深度学习模型相比，所提出的多级聚类与模型专业化方法在检测性能方面有何提升？
• RQ5 在去中心化、基于区块链的框架下，跨异构IoT设备实现实时恶意软件检测是否可行？

主要发现

• 所提出的框架通过为每个恶意软件特征聚类配备专用的深度学习模型，实现了在Android IoT设备上的实时恶意软件检测。
• 区块链的集成确保了检测决策和聚类数据的不可篡改性和可审计性，显著提升了系统的可信度。
• 自定义智能合约在应用上传和下载过程中成功验证了应用，降低了恶意应用在IoT网络中传播的风险。
• 多级聚类与模型专业化方法通过适应多样的恶意软件行为和数据分布，提升了检测准确率。
• 由于模块化设计和去中心化架构，该系统在异构IoT设备上表现出良好的可扩展性和适应性。
• 该框架支持通过在区块链上存储的新数据持续改进模型，实现对专用模型的重新训练。