Kullback-Leibler 情報量を用いた亜種マルウェアの同定電気通信大学中村燎太松宮遼高橋一志大山恵弘 1

Size: px

Start display at page:

Download "Kullback-Leibler 情報量を用いた亜種マルウェアの同定電気通信大学中村燎太松宮遼高橋一志大山恵弘 1"

ひろみめいこ
4 years ago
Views:

1 Kullback-Leibler 情報量を用いた亜種マルウェアの同定電気通信大学中村燎太松宮遼高橋一志大山恵弘 1

2 背景近年マルウェアの検出数は増加しつつある亜種関係にあるマルウェアも増加傾向にあるマルウェア自動生成ツールの台頭が影響 ZeuS, SpyEye といったツールが蔓延攻撃者のスキルに依らず亜種の関係にあるマルウェアを自動的かつ大量に生成可能な環境が整えやすいマルウェアを手作業で分析し対応するパターンファイルを作成するには人手が掛かる 2

3 目的と方針検体同士の類似度を示すシステムを開発しパターンファイルの作成を補助したい! 基準検体と識別対象の検体群による Windows API の呼び出し履歴 (API コール列 ) の類似度を判定する識別器を開発類似度の算出によって検体分析を効率化出来る未知の検体が既存検体と類似していた場合当該検体の分析に既存検体の分析結果を活用できるため 1 DLL ファイルをロード 2 レジストリ内のキーをロード 3

4 ユースケースパターンファイルの作成担当者識別の基準となる検体識別対象の検体群識別器 API コール列を抽出類似度担当者は上から順番にパターンファイルを作成していけば作業を効率化することが出来る 4

5 識別器の概要 (1/6) 1 全検体の API コール列から N-gram を抽出 N-gram とは? 一塊の情報を, 先頭から順に N 個の要素 ( ウィンドウ ) 群へと分割し直したもの N はウィンドウサイズと表現される ABBCCCCD ABB BBC BCC CCC CCC CCD 3-gram を適用 5

6 出現回数出現回数出現回数識別器の概要 (2/6) 2 全検体から抽出した各ウィンドウに N-gram ID を振り各検体に含まれるウィンドウ数を ID 毎にカウント N-gram ID N-gram を抽出各検体毎にカウント N-gram ID UEC MWS CSS 10 5 ID 1 2 n N-gram ID 6

7 識別器の概要 (3/6) 3 各検体内におけるウィンドウの出現数 ( カウントデータ ) をディリクレ分布 Pr θ X に置換ベイズの公式を利用本公式や関連する数学的議論については省略カウントデータより仮定した多項分布を Pr(X θ) とする 7

8 識別器の概要 (4/6) カウントデータから多項分布を仮定する方法 m 列の API コール列?????? m N 個のウィンドウ N 列?????? 先頭から処理賽子を m N 回振るという試行において各々の面が出る確率はどのくらい? このウィンドウは全部で n 個あるウィンドウのどれと同じだろうか? n 面の賽子パターンデータのカウント手法数学的な問題として再解釈! 8

9 識別器の概要 (5/6) 3 各検体内におけるウィンドウの出現数 ( カウントデータ ) をディリクレ分布 Pr θ X に置換ベイズの公式より求められる分布 Pr θ X はディリクレ分布となっている本分布には検体内に各ウィンドウがどの程度含まれているのかという情報が含まれている本過程を経ることで 1 検体につき 1 つのディリクレ分布が割り当てられることとなる 9

10 識別器の概要 (6/6) 4 基準検体及び各識別対象検体の分布間の Kullback-Leibler 情報量 (KL 情報量 ) を導出 KL 情報量は確率分布 P から同分布 Q の統計的距離を表す P, Q の確率密度関数をそれぞれ p x, q(x) とする P が基準検体 Q が各識別対象検体のディリクレ分布に相当検体同士の類似度とは本値のことを指す KL 情報量の値が小さい = 類似度が高い 10

特徴量の出現パターンにディリクレ分布を仮定検体 KL 情報量 23.6 52.6 204.9 516.

11 提案手法のフロー基準検体の API コール列識別対象検体の API コール列 N-gram の抽出 Kullback-Leibler 情報量 (KL 情報量 ) を計算 N-gram の抽出識別器 11 特徴量の出現パターンにディリクレ分布を仮定検体 KL 情報量検体ずつ処理 KL 情報量が小さい (= 類似度が高い ) 検体から解析を行うことで効率よく作業を進められる

12 提案手法に基づく実験 (1/4) 検体の識別結果所要時間最大メモリ消費量を評価検体の検知率が最良となるウィンドウサイズ N も併せて探索 3 N 7 を満たす全ての N について実験検体 ( の API コール列 ) には FFRI Datasets 2013 を利用 API コール列及びアンチウイルスソフトウェアによる検査結果が正しく記録されていない検体は除外残りの検体の中から基準検体を 1 つ選択し他を識別対象検体とした 12

13 提案手法に基づく実験 (2/4) 出力フォーマット基準検体の亜種か非亜種を判定しその結果を出力実験では KL 情報量をそのまま出力するわけではない点に注意 KL 情報量の一覧を定量的に評価することは難しいため KL 情報量に閾値を設定し KL 情報量がそれより小さい検体を亜種大きい検体を非亜種と判定 13

14 提案手法に基づく実験 (3/4) 出力の評価方法 4 社のアンチウイルスソフトウェアによる検査結果を利用 3 社以上のベンダーによる検査結果 ( 科名 ) が基準検体と一致した識別対象検体を亜種と見なす識別器による判定結果亜種非亜種一致したベンダー数科名が基準検体と各識別対象検体の 4 or 3 True Positive (T-P / 正常判定 ) 2 評価から除外 1 or 0 False Positive (F-P / 誤判定 ) False Negative (T-N / 検知漏れ ) True Negative (T-N / 正常判定 ) 14

15 実験環境提案手法に基づく実験 (4/4) CPU Memory OS Runtime Programming Language Intel Core i GHz (4core / 8thread) DDR GB (4GB * 2 / Dual Channel) Microsoft Windows 8 Pro (x86_64).net Framework 4.5 (x86_64) C# 15

16 提案手法の実験結果 (1/2) 1 識別結果とウィンドウサイズ N T-P ( 亜種を正しく検出 ) F-N ( 亜種の検知漏れ ) T-N ( 非亜種を正しく検出 ) F-P ( 非亜種の誤検知 ) ウィンドウサイズN 入力した検体数 233 1,023 検知率は N =7 の時に最大となりその値は 228/233 = 97.85% である 16

17 提案手法の実験結果 (2/2) 2 識別所要時間 3 最大メモリ消費量ウィンドウサイズ N 識別所要時間 (s) 最大メモリ消費量 (MB)

18 SVM に基づく実験 Support Vector Machine (SVM) に基づく識別器を開発し提案手法と同様に実験本実験における SVM の仕様設定 LIBSVM というライブラリを利用ソフトマージンを設けた上で識別 LIBSVM 付属の Python スクリプトでチューニング済カーネルは不使用 ( 線形分離による識別を実施 ) API コール列のディリクレ分布は識別に十分な次元数を持つためより高次元にマッピングする必要はないと判断実験環境は提案手法に基づく実験と同一 18

19 SVM の実験結果 (1/3) 1 識別結果とウィンドウサイズ N ウィンドウサイズ N 提案手法入力した : 228 検体数 T-P ( 亜種を正しく検出 ) F-N ( 亜種の検知漏れ ) T-N ( 非亜種を正しく検出 ) F-P ( 非亜種の誤検知 ) 提案手法 : 90 1,023 提案手法の検知率は SVM と同一だが F-P( 誤検知 ) の割合は SVM の方が 1 割ほど低い 19

20 2 識別所要時間 SVM の実験結果 (2/3) 所要時間 (s) ウィンドウサイズN SVM 提案手法 ( 再掲 ) Ex) N = 7 における識別所要時間のグラフ識別所要時間 SVM 本手法 [s] 提案手法は SVM の約 1/2 の時間で識別を行える! 20

21 SVM の実験結果 (3/3) 3 最大メモリ消費量メモリ消費量 (MB) ウィンドウサイズN SVM 提案手法 ( 再掲 ) Ex) N = 7 における最大メモリ消費量のグラフ最大メモリ消費量 SVM 提案手法は SVM の約 1/9 のメモリ消費量で識別を行える! 21 本手法 [MB]

22 関連研究システムコール列に着目した異常検知 A Sense of Self for Unix Processes (1996) コールスタック検査による Windows 版異常検知システム (2006) N-gram を利用したマルウェア検知 N-grams-based File Signatures for Malware Detection (2009) 22

23 最後にまとめ課題 KL 情報量を用いた亜種同定システムの考案及びそれに基づく識別器の開発評価実験実験より 97.85% の亜種を識別出来ることが分かった利用機会が必然的に限定される基準検体を予め決めなくてはならない検体の全自動でクラスタリングする手法を開発 23

Progress report

Progress report 自動化されたマルウェア動的解析システムで収集した大量 API コールログの分析 MWS 2013 藤野朗稚, 森達哉早稲田大学基幹理工学部情報理工学科 Akinori Fujino, Waseda Univ. 1 目次研究背景提案手法結果まとめ Akinori Fujino, Waseda Univ. 2 マルウェアは日々驚くべき速さで増加している. 一日当たり 20 万個の新しいマルウェアが発見されている

Kullback-Leibler 情報量を用いた亜種マルウェアの同定 電気通信大学 中村燎太 松宮遼 高橋一志 大山恵弘 1

Kullback-Leibler 情報量を用いた亜種マルウェアの同定電気通信大学中村燎太松宮遼高橋一志大山恵弘 1