【论文笔记】Malware Detection with Deep Neural Network Using Process Behavior
【论文笔记】Malware Detection with Deep Neural Network Using Process Behavior
论文基本信息
- 会议: IEEE(2016 IEEE 40th Annual Computer Software and Applications Conference)
- 单位: Nagoya University(名古屋大学)、NTT Secure Platform Laboratories(NTT安全平台实验室)
方法概述
- 数据:81个恶意软件日志文件、69个良性软件日志文件。其中恶意软件由NTT Secure Platform Laboratory收集,共26个恶意软件。
- 方法:基于软件日志(即软件行为)数据,首先用RNN提取恶意、良性软件行为特征,生成特征图像,再用CNN进行分类。
- 效果:AUC = 0.96
数据集
恶意软件样本由NTT Secure Platform Laboratory收集,共26个恶意软件,使用Symantec(赛门铁克)将其标记为11个家族。
在Ubuntu上使用VirtualBox搭建windows环境,使用Process Monitor、INetSim2、Cuckoo Sandbox等工具生成恶意和良性软件的日志。共生成81个恶意软件、69个良性软件日志文件。
日志数据生成环境如下图:
使用Process Monitor来记录ReadFile,RegSetValue,Thread Start等行为;
通过Process Monitor记录的行为(Operation)数据如下表所示。
字段 | 说明 |
---|---|
Time | Operation执行时间 |
Process Name | Process名 |
PID | Operation的PID |
Event | Operation名 |
Path | Operation执行时所在路径 |
Result | 执行结果状态 |
Detail | 参数等信息 |
Result记录了Operation的结果,如SUCCESS,ACCESS DENIED,FILE NOT FOUND等;
Detail记录了参数等信息。
方法
方法概述
算法的主要思路为:将Process行为日志转化为向量,使用RNN转换为特征图像,在用CNN对这些特征图像进行分类。
流程图如下:
Step1: 监视Process的行为,并生成日志文件。
Step2: 将日志数据转为one-hot向量,按Operation执行输入RNN训练,获取trained RNN模型。
Step3: 用trained RNN从日志文件中提取特征,并将特征转换为特征图像。
Step4: 使用标有恶意、良性标签的特征图像数据,训练CNN模型。
Step5: 训练结束后,由训练的RNN模型将Process行为日志文件转化为特征图像,再由训练的CNN模型进行分类,最后输出Process为恶意软件的概率。
训练RNN
将日志文件的Operation数据基于Operation Name转为one-hot向量作为输入,隐藏层\(h^1\)的神经元为普通神经元,\(h^2\)、\(h^3\)层为LSTM神经元。
网络结构如下:
生成特征图像
用trained RNN提取Process的特征并生成特征图像。
特征提取流程如下图所示:
将日志文件中的Operation转换为one-hot向量,然后依次将它们输入到trained RNN中。 获取每个输入的第三隐藏层\(h^3\)的值,得到集合{\(h^3_1\),\(h^3_2\),...,\(h^3_L\)}。 CNN模型输入图像矩阵为固定大小,故需将每个Process日志文件转为相同大小的特征图像矩阵。
用了以下等式将Operation特征向量集转为Process特征图像矩阵\(F\):
\(f_k\):固定大小的特征图像矩阵的元素
\(N\):集合{\(h^3_1\),\(h^3_2\),...,\(h^3_L\)}分为N组并计算每组的平均值,\(N\)也就是特征图像矩阵\(F\)的行数。
\(p_k\):第\(k\)个矢量集的最后一个数。
\(W\):设为第3隐藏层的维数,则固定向量序列可以描述为矩阵F.
通过sigmoid函数将矩阵F的每个元素映射到[0,1]空间,并乘以255来形成256级灰度图像。 最后,输出矩阵\(F\)作为特征图像矩阵。
训练CNN
使用带有恶意、良性标记的特征图像矩阵作为输入训练CNN网络。CNN网络结构如下图:
输出\(y_0\)、\(y_1\)分别为为良性软件、恶意软件的概率。可用sigmoid函数\(Sig\)(\(y_1\))计算出为恶意软件的概率。
实验结果
作者尝试了不同的RNN的隐含层维度、CNN输入矩阵大小、CNN卷积层池化层参数\(w\)。使用5折交叉验证,最佳结果为在下表中Cond2条件时,AUC为0.96。
个人总结
在恶意程序检测方向,将程序的动静态数据转为图像,再套用CNN对图像分类,这是一个常见的思路。
本论文值得学习的点
- 使用RNN把保留了程序行为的时序特征
- 提供了一种将程序行为日志转为图像的思路
不足之处
- 实验数据集太少
- 在公开沙箱中生成的恶意软件行为日志,可能存在对抗
- 没有公开数据集
- 行为类型太少
- 只用了程序的动态数据,没有使用静态数据
- 【论文笔记】Image Classification with Deep Convolutional Neural Network
- 深度学习论文笔记--Recover Canonical-View Faces in the Wild with Deep Neural Network
- [论文笔记]TextBoxes A Fast Text Detector with a Single Deep Neural Network
- 论文笔记 MSCNN:A Unified Multi-scale Deep Convolutional Neural Network for Fast Object Detection
- 论文笔记:Person Re-identification with Deep Similarity-Guided Graph Neural Network
- 论文阅读笔记(一)——Deep Convolutional Neural Network with Independent
- 论文笔记:TextBoxes: A Fast Text Detector with a Single Deep Neural Network
- 论文笔记:TextBoxes: A Fast Text Detector with a Single Deep Neural Network
- 【论文笔记】Recover Canonical-View Faces in the Wild with Deep Neural Network
- 多尺度R-CNN论文笔记(5): A Unified Multi-scale Deep Convolutional Neural Network for Fast Object Detection
- 论文笔记之:Hybrid computing using a neural network with dynamic external memory
- 【论文笔记】Scalable Object Detection using Deep Neural Networks
- 论文笔记(一)Radio frequency interference mitigation using deep convolutional neural networks
- 论文《A Convolutional Neural Network Cascade for Face Detection》笔记
- MSCNN 论文解析(A Unified Multi-scale Deep Convolutional Neural Network for Fast Object Detection
- 论文阅读《Edge Detection Using Convolutional Neural Network》
- 论文笔记之:Decoupled Deep Neural Network for Semi-supervised Semantic Segmentation
- 经典计算机视觉论文笔记——《ImageNet Classification with Deep Convolutional Neural Networks》
- 论文笔记 A Large Contextual Dataset for Classification,Detection and Counting of Cars with Deep Learning
- 论文提要“Scalable Object Detection using Deep Neural Networks”