[论文解读] Malware Detection at the Microarchitecture Level using Machine Learning Techniques

Abigail Kwan|arXiv (Cornell University)|May 25, 2020

Advanced Malware Detection Techniques参考文献 26被引用 5

一句话总结

本文提出了一种基于硬件的恶意软件检测系统，利用硬件性能计数器（HPCs）的微架构数据进行机器学习，以高精度分类恶意软件。通过对比使用轻量级算法（如J48和JRip）的二元分类与多分类模型，发现尽管准确率略低，但其在鲁棒性和误报率控制方面优于复杂模型，证明了其在微架构级别实时检测中的有效性。

ABSTRACT

Detection of malware cyber-attacks at the processor microarchitecture level has recently emerged as a promising solution to enhance the security of computer systems. Security mechanisms, such as hardware-based malware detection, use machine learning algorithms to classify and detect malware with the aid of Hardware Performance Counters (HPCs) information. The ML classifiers are fed microarchitectural data extracted from Hardware Performance Counters (HPCs), which contain behavioral data about a software program. These HPCs are captured at run-time to model the program's behavior. Since the amount of HPCs are limited per processor, many techniques employ feature reduction to reduce the amount of HPCs down to the most essential attributes. Previous studies have already used binary classification to implement their malware detection after doing extensive feature reduction. This results in a simple identification of software being either malware or benign. This research comprehensively analyzes different hardware-based malware detectors by comparing different machine learning algorithms' accuracy with binary and multi-class classification models. Our experimental results indicate that when compared to complex machine learning models (e. g. Neural Network and Logistic), light-weight J48 and JRip algorithms perform better in detecting the malicious patterns even with the introduction of multiple types of malware. Although their detection accuracy slightly lowers, their robustness (Area Under the Curve) is still high enough that they deliver a reasonable false positive rate.

研究动机与目标

• 探究机器学习模型在利用硬件性能计数器（HPCs）的微架构数据检测恶意软件方面的有效性。
• 比较二元分类与多分类方法在恶意软件检测准确率和鲁棒性方面的表现。
• 评估轻量级机器学习算法（如J48、JRip）与复杂模型（如神经网络、逻辑回归）在实时恶意软件检测中的性能。
• 通过特征降维技术减少特征维度，同时保持检测能力。
• 评估基于硬件的恶意软件检测系统中检测准确率与误报率之间的权衡。

提出的方法

• 从硬件性能计数器（HPCs）收集运行时微架构行为数据，以表征程序执行模式。
• 应用特征降维技术，以最小化所用HPC数量，聚焦于检测最关键的属性。
• 在缩减后的HPC特征集上训练多种机器学习分类器，包括J48、JRip、神经网络和逻辑回归。
• 实施二元（恶意软件/良性）与多分类（多种恶意软件类型）分类模型，进行对比分析。
• 使用准确率、曲线下面积（AUC）和误报率等指标评估模型性能。
• 采用交叉验证和标准评估协议，以确保模型间比较的可靠性。

实验结果

研究问题

• RQ1 不同机器学习算法在利用微架构HPC数据分类恶意软件方面的表现如何？
• RQ2 二元分类与多分类方法在检测多样化恶意软件类型方面的相对有效性如何？
• RQ3 轻量级机器学习模型（如J48和JRip）是否相比复杂模型展现出更高的鲁棒性和更低的误报率？
• RQ4 特征降维对基于硬件的恶意软件检测中检测准确率和模型效率有何影响？
• RQ5 不同分类模型之间在检测准确率与误报率之间存在何种权衡？

主要发现

• 轻量级机器学习模型（如J48和JRip）在曲线下面积（AUC）衡量的鲁棒性方面优于复杂模型（如神经网络和逻辑回归）。
• 尽管检测准确率略低，J48和JRip仍保持合理的误报率，适合实时部署。
• 多分类模型相比二元分类在检测多样化恶意软件家族方面展现出更优的检测能力。
• 特征降维能有效降低HPC的维度，且对模型性能影响较小。
• 使用HPC数据可有效实现软件的行为特征建模，从而在微架构层面检测恶意行为模式。
• 结果表明，在实际恶意软件检测系统中，模型鲁棒性和低误报率优先于原始准确率。