[논문]엔트로피 시계열 데이터 추출과 순환 신경망을 이용한 IoT 악성코드 탐지와 패밀리 분류

김영호; 이현종; 황두성

doi:10.3745/ktsde.2022.11.5.197

엔트로피 시계열 데이터 추출과 순환 신경망을 이용한 IoT 악성코드 탐지와 패밀리 분류
IoT Malware Detection and Family Classification Using Entropy Time Series Data Extraction and Recurrent Neural Networks 원문보기

정보처리학회논문지. KIPS transactions on software and data engineering. 소프트웨어 및 데이터 공학, v.11 no.5, 2022년, pp.197 - 202

김영호 (단국대학교 컴퓨터학과) , 이현종 ((주)케이사인 보안기술연구소) , 황두성 (단국대학교 소프트웨어학과)

초록
AI-Helper

IoT (Internet of Things) 장치는 취약한 아이디/비밀번호 사용, 인증되지 않은 펌웨어 업데이트 등 많은 보안 취약점을 보여 악성코드의 공격 대상이 되고 있다. 그러나 CPU 구조의 다양성으로 인해 악성코드 분석 환경 설정과 특징 설계에 어려움이 있다. 본 논문에서는 CPU 구조와 독립된 악성코드의 특징 표현을 위해 실행 파일의 바이트 순서를 이용한 시계열 특징을 설계하고 순환 신경망을 통해 분석한다. 제안하는 특징은 바이트 순서의 부분 엔트로피 계산과 선형 보간을 통한 고정 길이의 시계열 패턴이다. 추출된 특징의 시계열 변화는 RNN과 LSTM으로 학습시켜 분석한다. 실험에서 IoT 악성코드 탐지는 높은 성능을 보였지만, 패밀리 분류는 비교적 성능이 낮았다. 악성코드 패밀리별 엔트로피 패턴을 시각화하여 비교했을 때 Tsunami와 Gafgyt 패밀리가 유사한 패턴을 나타내 분류 성능이 낮아진 것으로 분석되었다. 제안된 악성코드 특징의 데이터 간 시계열 변화 학습에 RNN보다 LSTM이 더 적합하다.

Abstract ▼ AI-Helper

IoT (Internet of Things) devices are being attacked by malware due to many security vulnerabilities, such as the use of weak IDs/passwords and unauthenticated firmware updates. However, due to the diversity of CPU architectures, it is difficult to set up a malware analysis environment and design features. In this paper, we design time series features using the byte sequence of executable files to represent independent features of CPU architectures, and analyze them using recurrent neural networks. The proposed feature is a fixed-length time series pattern extracted from the byte sequence by calculating partial entropy and applying linear interpolation. Temporary changes in the extracted feature are analyzed by RNN and LSTM. In the experiment, the IoT malware detection showed high performance, while low performance was analyzed in the malware family classification. When the entropy patterns for each malware family were compared visually, the Tsunami and Gafgyt families showed similar patterns, resulting in low performance. LSTM is more suitable than RNN for learning temporal changes in the proposed malware features.

주제어

표/그림 (8)

그림 Fig. 1. Process of Entropy Sequence Extraction
그림 Fig. 2. Example of Linear Interpolation (L = 32)
그림 Fig. 3. Performance of Malware Detection and Family Classification
표 Table 1. RNN/LSTM Model Architecture
표 Table 2. Dataset Information
그림 Fig. 4. Confusion Matrix for Malware Family Classification
그림 Fig. 5. Visualization of Entropy Sequence for Malware Family
표 Table 3. Malware Detection Performance

참고문헌 (19)

A. S. Gillis, "What is IoT (Internet of Things) and how does it work," IoT Agenda, TechTarget, 11, 2020.
Statista, "Number of Internet of Things (IoT) connected devices worldwide from 2019 to 2030," 2020.
M. B. Barcena and C. Wueest, "Insecurity in the internet of things," Security Response, Symantec, 2015.
N. Woolf, "DDoS attack that disrupted internet was largest of its kind in history, experts say," The Guardian, 26, 2016.
J. Gamblin, Mirai Source Code [Internet], https://github.com/jgamblin/Mirai-Source-Code.
AhnLab, "Mirai variant malware analysis report," ASEC Report, Vol.100, 2020.
Y. Ye, T. Li, D. Adjeroh, and S. S. Iyengar, "A survey on malware detection using data mining techniques," ACM Computing Surveys (CSUR), Vol.50, No.3, pp.1-40, 2017.
E. Cozzi, M. Graziano, Y. Fratantonio, and D. Balzarotti, "Understanding linux malware," In 2018 IEEE Symposium on Security and Privacy (SP), IEEE, 2018.
R. Sihwail, K. Omar, and K. A. Z. Ariffin, "A survey on malware analysis techniques: Static, dynamic, hybrid and memory analysis," International Journal on Advanced Science, Engineering and Information Technology, Vol.8, No.4-2, pp.1662-1671, 2018.

상세보기
T. L. Wan et al., "Efficient detection and classification of internet-of-things malware based on byte sequences from executable files," IEEE Open Journal of the Computer Society, Vol.1, pp.262-275, 2020.

상세보기
H. Darabian, A. Dehghantanha, S. Hashemi, S. Homayoun, and K. K. R. Choo, "An opcode-based technique for polymorphic Internet of Things malware detection," Concurrency and Computation Practice and Experience, Vol.32, No.6, pp.e5173, 2019.
I. Miliaraki, K. Berberich, R. Genmulla, and S. Zoupanos, "Mind the gap: Large-scale frequent sequence mining," In Proceedings of the 2013 ACM SIGMOD International Conference on Management of Data, ACM, 2013.
J. Jeon, J. H. Park, and Y. Jeong, "Dynamic analysis for IoT malware detection with convolution neural network model," IEEE Access, Vol.8, pp.96899-96911, 2020.

상세보기
M. D. Zeiler and R. Fergus, "Visualizing and understanding convolution networks," European Conference on Computer Vision, Springer, Cham, 2014.
R. Lyda and J. Hamrock, "Using entropy analysis to find encrpyted and packed malware," IEEE Security & Privacy, Vol.5, No.2, pp.40-45, 2007.
I. Sorokin, "Comparing files using structural entropy," Journal in Computer Virology, Vol.7, No.4, pp.259-265, 2011.

상세보기
S. Goki, "Deep learning from scratch 2," Oreilly, 2019.
Malwares.com [Internet], https://www.malwares.com/.
Kaspersky [Internet], https://www.kaspersky.co.kr/.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증