[论文解读] Machine Learning With Feature Selection Using Principal Component Analysis for Malware Detection: A Case Study

Jason Zhang|arXiv (Cornell University)|Feb 10, 2019

Advanced Malware Detection Techniques参考文献 10被引用 25

一句话总结

本文提出了一种增强的机器学习方法用于恶意软件检测，通过将主成分分析（PCA）与多层感知机（MLP）神经网络结合，以降低PDF恶意软件检测中的特征维度。该方法实现了33%的特征减少和22%的训练加速，同时保持了93.17%的真正例率和0.08%的假正例率——甚至优于顶级商业杀毒扫描器。

ABSTRACT

Cyber security threats have been growing significantly in both volume and sophistication over the past decade. This poses great challenges to malware detection without considerable automation. In this paper, we have proposed a novel approach by extending our recently suggested artificial neural network (ANN) based model with feature selection using the principal component analysis (PCA) technique for malware detection. The effectiveness of the approach has been successfully demonstrated with the application in PDF malware detection. A varying number of principal components is examined in the comparative study. Our evaluation shows that the model with PCA can significantly reduce feature redundancy and learning time with minimum impact on data information loss, as confirmed by both training and testing results based on around 105,000 real-world PDF documents. Of the evaluated models using PCA, the model with 32 principal feature components exhibits very similar training accuracy to the model using the 48 original features, resulting in around 33% dimensionality reduction and 22% less learning time. The testing results further confirm the effectiveness and show that the model is able to achieve 93.17% true positive rate (TPR) while maintaining the same low false positive rate (FPR) of 0.08% as the case when no feature selection is applied, which significantly outperforms all evaluated seven well known commercial antivirus (AV) scanners of which the best scanner only has a TPR of 84.53%.

研究动机与目标

• 解决在使用机器学习进行恶意软件检测时面临的特征冗余和高计算成本问题。
• 评估基于PCA的特征选择对真实世界PDF恶意软件检测任务中模型性能和训练效率的影响。
• 从检测准确率和假正例率的角度，将所提出的PCA增强模型与原始MLP df模型及商业杀毒扫描器进行比较。
• 证明通过PCA进行降维可在显著减少学习时间和特征冗余的同时，保留关键信息。

提出的方法

• 本研究在先前提出的MLP df模型基础上，引入基于PCA的特征选择以降低输入维度。
• 应用主成分分析（PCA）提取原始特征的最具信息量的线性组合，以保留最大方差。
• 测试了多种PCA配置，包括10、28和32个主成分，分别对应79%、41%和33%的降维率。
• 保留MLP df模型的架构——两层隐藏层，每层72个神经元，以及一个用于二分类的单层S型输出层。
• 模型训练5,000个周期，并在约105,000份真实世界PDF文档的数据集上进行评估，包含良性和恶意样本。
• 性能通过真正例率（TPR）、假正例率（FPR）、训练准确率和学习时间进行衡量。

实验结果

研究问题

• RQ1 基于PCA的特征选择是否能在最小损失预测信息的前提下，有效降低PDF恶意软件检测中的维度？
• RQ2 与原始MLP df模型相比，PCA增强模型在训练准确率和推理速度方面的表现如何？
• RQ3 基于PCA的模型在检测恶意PDF方面，与商业杀毒扫描器相比，优势有多大？
• RQ4 在模型效率与检测准确率之间取得平衡时，最优的主成分数是多少？

主要发现

• 采用32个主成分的模型（MLP_df+PCA_32）的训练准确率几乎与原始MLP df模型相同，表明信息损失极小。
• 基于PCA的模型相比全特征模型，将特征维度降低了约33%，学习时间减少了22%。
• MLP_df+PCA_32模型实现了93.17%的真正例率，同时保持了0.08%的低假正例率，性能与原始MLP df模型相当。
• 所提出的模型显著优于最佳商业杀毒扫描器，后者在同一测试集上仅实现了84.53%的真正例率。
• 累积解释方差比率分析表明，32个主成分已足够保留高检测准确率所需的信息。
• 10个主成分的模型在3,000个周期后达到约98%的训练准确率，表明即使在低维情况下也能实现良好收敛。