[论文解读] Towards Building an Intelligent Anti-Malware System: A Deep Learning Approach using Support Vector Machine (SVM) for Malware Classification

Abien Fred Agarap|arXiv (Cornell University)|Dec 31, 2017

Advanced Malware Detection Techniques参考文献 14被引用 73

一句话总结

本文在 Malimg 数据集上评估 DL-SVM 模型（CNN-SVM、GRU-SVM、MLP-SVM）用于多类恶意软件家族分类，其中 GRU-SVM 的测试准确率最高，约为 ~84.92%。

ABSTRACT

Effective and efficient mitigation of malware is a long-time endeavor in the information security community. The development of an anti-malware system that can counteract an unknown malware is a prolific activity that may benefit several sectors. We envision an intelligent anti-malware system that utilizes the power of deep learning (DL) models. Using such models would enable the detection of newly-released malware through mathematical generalization. That is, finding the relationship between a given malware $x$ and its corresponding malware family $y$, $f: x \mapsto y$. To accomplish this feat, we used the Malimg dataset (Nataraj et al., 2011) which consists of malware images that were processed from malware binaries, and then we trained the following DL models 1 to classify each malware family: CNN-SVM (Tang, 2013), GRU-SVM (Agarap, 2017), and MLP-SVM. Empirical evidence has shown that the GRU-SVM stands out among the DL models with a predictive accuracy of ~84.92%. This stands to reason for the mentioned model had the relatively most sophisticated architecture design among the presented models. The exploration of an even more optimal DL-SVM model is the next stage towards the engineering of an intelligent anti-malware system.

研究动机与目标

• 需要智能反恶意软件系统以实现对未见变体的泛化能力的动机。
• 提出并比较以 SVM 作为最终分类器的基于 DL 的模型。
• 在 Malimg 恶意软件图像数据集上评估模型以评估可扩展性和泛化能力。
• 为改进恶意软件分类性能的架构设计提供指导。

提出的方法

• 将恶意软件二进制表示为灰度图像（32x32），经预处理后展平为 1024 个特征。
• 通过 one-versus-all 对多分类使用线性 L2-SVM 作为 CNN、GRU、MLP 骨干的最终分类器。
• 使用 Adam 优化器对模型进行训练并对特征进行标准化。
• 在 Malimg 数据集的 70/30 训练/测试划分上评估模型。
• 报告包括每类的准确度、F1、精确度和召回率等指标。

实验结果

研究问题

• RQ1 DL 架构配合 SVM 最终层是否能有效从 Malimg 图像中分类恶意软件家族？
• RQ2 哪种 DL 骨干（CNN、GRU、MLP）搭配 L2-SVM 能实现最佳的多类恶意软件分类性能？
• RQ3 这些模型在具有不同变体数量的恶意软件家族上的表现如何？

主要发现

变量	CNN-SVM	GRU-SVM	MLP-SVM
准确度	77.2265625%	84.921875%	80.46875%
数据点	256000	256000	256000
轮次	100	100	100
F1	0.79	0.85	0.81
精确度	0.84	0.85	0.83
召回率	0.77	0.85	0.80

• GRU-SVM 的测试准确率最高，约为 84.92%。
• CNN-SVM 和 MLP-SVM 的测试准确率分别为 77.23% 和 80.47%。
• GRU-SVM 在测试数据上的精确度 0.85，召回率 0.85，F1 0.85。
• CNN-SVM 在测试数据上的精确度 0.84，召回率 0.77，F1 0.79。
• MLP-SVM 在测试数据上的精确度 0.83，召回率 0.80，F1 0.81。