[论文解读] PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks

Deqiang Li, Shicheng Cui+4 more|arXiv (Cornell University)|Feb 22, 2023

Advanced Malware Detection Techniques被引用 4

一句话总结

PAD 提出了一种基于可学习凸度量的原理性对抗恶意软件检测框架，用于量化离散扰动，实现理论保证的鲁棒优化。该方法在对抗 27 种逃避攻击时检测准确率超过 83.45%，同时在干净设置下准确率下降不足 2.16%。

ABSTRACT

Machine Learning (ML) techniques can facilitate the automation of malicious software (malware for short) detection, but suffer from evasion attacks. Many studies counter such attacks in heuristic manners, lacking theoretical guarantees and defense effectiveness. In this paper, we propose a new adversarial training framework, termed Principled Adversarial Malware Detection (PAD), which offers convergence guarantees for robust optimization methods. PAD lays on a learnable convex measurement that quantifies distribution-wise discrete perturbations to protect malware detectors from adversaries, whereby for smooth detectors, adversarial training can be performed with theoretical treatments. To promote defense effectiveness, we propose a new mixture of attacks to instantiate PAD to enhance deep neural network-based measurements and malware detectors. Experimental results on two Android malware datasets demonstrate: (i) the proposed method significantly outperforms the state-of-the-art defenses; (ii) it can harden ML-based malware detection against 27 evasion attacks with detection accuracies greater than 83.45%, at the price of suffering an accuracy decrease smaller than 2.16% in the absence of attacks; (iii) it matches or outperforms many anti-malware scanners in VirusTotal against realistic adversarial malware.

研究动机与目标

• 为解决现有对抗恶意软件检测方法依赖启发式对抗训练而缺乏理论保证的问题。
• 通过确保对抗训练过程中内层最大化和外层最小化均收敛，弥合特征空间与问题空间之间的鲁棒性差距。
• 通过为基于深度神经网络的恶意软件检测器量身定制的新型逃避攻击组合，提升防御效果。
• 开发一种原则性、可验证的防御框架，在干净和对抗性条件下均保持高检测准确率。
• 实现对离散恶意软件表示空间中鲁棒性的正式处理，其中传统平滑性假设可能不成立。

提出的方法

• 引入一种可学习的凸度量，用于量化恶意软件表示中基于分布的离散扰动，实现理论收敛保证。
• 采用最小-最大对抗训练框架，其中内层最大化（对抗样本生成）和外层最小化（模型训练）均具有理论基础。
• 使用专为恶意软件检测设计的逃避攻击组合，以实例化 PAD 框架并提升鲁棒性。
• 利用平滑的深度神经网络（DNNs），确保在外层最小化过程中实现基于梯度的收敛，促进稳定优化。
• 设计双检测机制：主恶意软件检测器和次对抗样本指示器，二者均在相同的原则性框架下训练。
• 基于凸性和平滑性进行理论分析，确保在特征空间中实现的鲁棒性能能有效传播至问题空间。

实验结果

研究问题

• RQ1 是否可以使用凸的、可学习的度量来在离散恶意软件表示空间中形式化对抗训练，并实现收敛保证？
• RQ2 如何设计一种逃避攻击组合，以有效实例化对抗训练并提升恶意软件检测中的鲁棒性？
• RQ3 所提出的框架在面对广泛逃避攻击时，能在多大程度上保持干净数据下的检测准确率？
• RQ4 该框架能否确保特征空间中的鲁棒性有效传播至实际的恶意软件检测任务，从而避免鲁棒性差距？
• RQ5 使用平滑且凸的 DNN 是否能实现在对抗恶意软件检测中的稳定且理论基础坚实的优化？

主要发现

• PAD 框架在应对 27 种不同逃避攻击时，检测准确率超过 83.45%，显著优于当前最先进防御方法。
• 在无攻击情况下，模型的干净准确率下降不足 2.16%，表明性能退化极小。
• 在真实对抗性恶意软件样本上评估时，该框架在 VirusTotal 上的检测性能与多个商用杀毒软件相当或更优。
• 内层最大化（对抗样本搜索）和外层最小化（模型训练）步骤均实现了理论收敛保证。
• 使用凸度量使得鲁棒性能有效从特征空间传播至问题空间，缓解了先前工作中观察到的鲁棒性差距。
• 对抗训练中使用的攻击组合增强了模型对多样化逃避策略（包括实际攻击）的泛化能力。