선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
제안 방법
- PE 포맷은 ( 그림 2 )와 같이 크게 DOS header, Commom Object File Format(COOFF), optional header, import tables로 나뉜다. 본 연구는 PE 포맷에서 DOS header, COFF Optional header 부분을 추출해 총 328 bytes 배열을 얻게 된다. 이것은 실행 파일의 핵심적인 특징이며, 적은 분량이고, 일정한 크기를 가진다.
- [2]은 파일의 시작과 끝만을 n-framming 하여 정보를 추출한다. 본 연구도 유용한 부분만을 살펴보고, 특정 길이를 얻기 위해 PE 헤더만을 특징 추출에 사용한다.
- 본 연구에서는 2개의 convolution layer를 사용하며 각각 32,64개의 3×3필터 합성곱을 연산한다.
- 이 방법은 대상에 대한 사전 지식이 필요 없이 특징의 자동적인 추출이 가능하다는 장점이 있다. 본 연구에서는 6-grams로 13500개의 정상코드의 문맥을 학습시켜 byte의 등장 확률을 구한다.
- 본 연구에서는 n-grams 특징 추출과 CNN 학습기법을 동시에 사용해 기존 연구 결과와 탐지 정확도를 비교한다. 결과로 얻은 탐지 정확도는 98.
- Raff도 PE 포맷을 특징으로 추출해 악성코드를 탐지한다. 이것에 대해 Extra Random Trees(ET), Random Forests(RF), Logistic Regression(LR), Fully Connected Neural Network(FC), Long Short-Term Memory(LSTM) 다섯 가지 학습 기법을 적용하고 탐지 성능을 비교한다. 다양한 탐지 기법에 소개가 있지만 역시 CNN에 대한 논의가 부족하다.
대상 데이터
- 사용된 데이터는 KISA에서 수집한 윈도우즈 실행 파일 정상코드 13,500개 악성코드 41,500개 총 5,500개의 데이터를 사용하였다. 이 데이터를 사용할 때 5-fold cross vaildation 기법을 적용하여 검증하였다.
- 실험 환경은 윈도우즈 10(64blt) 운영체제에서 Tensorflow backed keras로 실험하였다.
데이터처리
- 는 Raff 가 industry patner에게 받은 데이터(Group B)를 사용해 얻은 모델 정확도와 제안하는 모델의 정확도를 비교한다.
이론/모형
- 사용된 데이터는 KISA에서 수집한 윈도우즈 실행 파일 정상코드 13,500개 악성코드 41,500개 총 5,500개의 데이터를 사용하였다. 이 데이터를 사용할 때 5-fold cross vaildation 기법을 적용하여 검증하였다. 실험 환경은 윈도우즈 10(64blt) 운영체제에서 Tensorflow backed keras로 실험하였다.
- 하지만 모델성능을 정확도로만 판별하는 것은 위험하다. 이 맹점을 해결하기 위해 Receiver Operating Characteristic(ROC)을 사용한다. (그림 5)는 6-grams로 전처리를 한 ROC 그래프이고 (그림 6)은 Raff의 모델에 대한 ROC 그래프이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.