[논문]GRU를 활용한 악성코드 탐지의 관한 연구

류경근; 최용철; 이덕규

GRU를 활용한 악성코드 탐지의 관한 연구
A Study on Malicious Code Detection Using GRU 원문보기

류경근 (서원대학교 정보보안학과) , 최용철 (서원대학교 정보보안학과) , 이덕규 (서원대학교 정보보안학과)

최근 악성코드에 의한 피해사례가 매년 증가하고 있다. 전통적인 시그니처 기반 안티바이러스 솔루션은 제로데이 공격이나 랜섬웨어처럼 전례가 없는 새로운 위협에 속수무책일 정도로 취약하다. 그럼에도 불구하고 많은 기업이 다중 엔드포인트 보안 전략의 일환으로 시그니처 기반 안티바이러스 솔루션을 유지하고 있다. 이에 응하고자 다양한 악성코드 분석기술이 출현해왔으며, 최근의 연구들은 부분 머신러닝을 이용하여 기존에 진행했던 시그니쳐 기반의 한계를 보완하고 노력하고 있다. 본 논문은 머신러닝을 이용한 바이러스 분석 모델과 머신러닝 알고리즘 중 GRU를 이용한 솔루션 시스템을 제안한다. 기존 DB Server를 통해 머신러닝을 학습 시키며 다양한 샘플과 형식을 이용하여 머신러닝을 학습하고 이를 이용해 새로운 악성코드, 변조된 악성코드의 탐지율을 높일 수 있다.

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

전통적인 시그니처 기반 안티바이러스 솔루션은 제로데이 공격이나 랜섬웨어처럼 전례가 없는 새로운 위협에 속수무책일 정도로 취약하다. 본 논문에서는 차세대 안티바이러스 솔루션 대책으로 머신러닝 알고리즘 중 GRU를 이용한 솔루션 시스템을 제안한다. 기존 머신러닝을 사용한 안티바이러스 소프트웨어와 비교하며 변종 악성코드를 탐지할 때 더욱 적은 데이터를 사용해서 탐지 할 수 있을 것이다.
제로데이 공격 이후 초반 적은 데이터에 대한 학습에 더 유용하다. 초기 보안 측면을 위해 본 논문에선 GRU 방식을 제안한다.

제안 방법

[1] 기계 학습 방법은 데이터로부터 알고리즘을 지속적으로 학습하여 갱신할 수 있기 때문에 변칙적인 침입에 유연하게 대응할 수 있는 장점을 가지고 있다.[2] 이러한 측면에서 바이러스 발생 초반 바이러스에 대한 적은 데이터로 머신러닝을 학습시켜 초기 데이터로도 변종 악성코드를 탐지할 수 있도록 하는 GRU를 활용한 머신러닝 탐지 모델을 제안한다.
먼저 DB Server에는 이미지가 등록된다. 사용자들이 파일의 그레이스케일을 추출해주는 모듈에서 파일에 특정 특징을 배열화 시켜 DB Server에 등록 하면 머신러닝을 통하여 그레이스케일 화 된 이미지를 가져오고 이미지 파일에서 배열을 추출하여, 분류 작업을 통하여 악성코드와 정상파일 등을 분류한다. 본 논문에서 사용한 머신러닝은 LSTM의 한 종류인 GRU를 사용하며 제안하는 방식은 기존 머신러닝 모델보다 게이트 수가 적으며 구조가 간단하여[5] 빠르고 많은 데이터를 실시간성으로 추가할 수 있고, 다양한 데이터셋을 통해 더 수준 높은 기계학습이 가능하여, 기존 Deep Learning 방식의 전수조사의 다양성 또한 보장 할 수 있다.
데이터 분석을 통해 불필요한 정보를 제거하고 기계학습의 효과를 최대한으로 할 수 있다. 수집 데이터로서는 악성코드 분석에 사용되는 Feature들은 PE header, Strings, Sequences, DLL/API, Entropy, Instructions, Visualization, Memory 정보, File 정보, Registry 정보, CPU Register, Network 속정보, Anti-Virus 분석정보[6]등 다양하지만, 그 중 분석에 주요한 정보를 가진 5가지인 PE Header, Printable Strings, Sequences, DLL/API, Entropy에 관한 데이터를 수집할 것이고 이 정보와 그 파일이 악성코드인지 여부를 통해 배열을 만들어 머신러닝으로 학습을 시킨다.

성능/효과

하지만 GRU 모델에선 적은 데이터로와 짧은 학습 시간으로도 높은 정확도를 얻을 수 있다. LSTM은 적은 데이터에선 GRU보단 낮은 정확도를 가지지만 충분한 데이터가 있을시 우수한 결과를 보여주었다. 과적합 빈도 측면에서 보자면 RNN은 히든노드가 순환하는 방식으로 망각 게이트가 없어 과적합이 일어나기 쉽다.
<표 1> 은 기존에 있던 RNN과 LSTM을 활용하여 만든 사용자 행위 분석과 본 논문에서 제안하는 시스템간의 비교를 나타내고 있다. 데이터 의존도 측면에서는 기존의 RNN과 LSTM은 사용자 분석의 데이터 의존도는 매우 높다. 이에 반해 GRU는 LSTM에서 데이터 의존도를 낮추어 제안된 모델로서 데이터가 부족한 경우에도 기존 방식보다 빠르게 이상 행동을 유추해낼 수 있다.
사용자들이 파일의 그레이스케일을 추출해주는 모듈에서 파일에 특정 특징을 배열화 시켜 DB Server에 등록 하면 머신러닝을 통하여 그레이스케일 화 된 이미지를 가져오고 이미지 파일에서 배열을 추출하여, 분류 작업을 통하여 악성코드와 정상파일 등을 분류한다. 본 논문에서 사용한 머신러닝은 LSTM의 한 종류인 GRU를 사용하며 제안하는 방식은 기존 머신러닝 모델보다 게이트 수가 적으며 구조가 간단하여[5] 빠르고 많은 데이터를 실시간성으로 추가할 수 있고, 다양한 데이터셋을 통해 더 수준 높은 기계학습이 가능하여, 기존 Deep Learning 방식의 전수조사의 다양성 또한 보장 할 수 있다.
분석한 내용을 보자면 RNN을 이용한 사용자 행위 분석보단 다른 LSTM과 GRU를 사용한 사용자 행위 분석이 월등한 성능을 갖고 있다. 여기서 LSTM은 많은 데이터를 가질 시 더욱 높은 정확도를 보여주었고 GRU는 많은 데이터를 학습할 시 LSTM보단 낮은 정확도를 가지게 되지만 GRU는 적은 데이터와 짧은 시간으로 단기간에 높은 정확도를 보여주었다. 제로데이 공격 이후 초반 적은 데이터에 대한 학습에 더 유용하다.

후속연구

본 논문에서는 차세대 안티바이러스 솔루션 대책으로 머신러닝 알고리즘 중 GRU를 이용한 솔루션 시스템을 제안한다. 기존 머신러닝을 사용한 안티바이러스 소프트웨어와 비교하며 변종 악성코드를 탐지할 때 더욱 적은 데이터를 사용해서 탐지 할 수 있을 것이다. 탐지하는 부분에서 다양한 샘플과 형식을 이용하여 머신러닝을 학습하고 이를 이용해 새로운 악성코드 및 변조 악성코드의 탐지율을 높일 수 있고 또한 기존의 Deep Learning 방식의 다양한 학습 및 전수조사가 필요한 부분을 GRU 알고리즘으로 보완 할 수 있지만 현재 실험 데이터가 없으며 명확한 성능을 기대하기 어렵고 적용시에도 머신러닝의 문제점인 높은 오탐률에 대한 개선해야한다.
기존 머신러닝을 사용한 안티바이러스 소프트웨어와 비교하며 변종 악성코드를 탐지할 때 더욱 적은 데이터를 사용해서 탐지 할 수 있을 것이다. 탐지하는 부분에서 다양한 샘플과 형식을 이용하여 머신러닝을 학습하고 이를 이용해 새로운 악성코드 및 변조 악성코드의 탐지율을 높일 수 있고 또한 기존의 Deep Learning 방식의 다양한 학습 및 전수조사가 필요한 부분을 GRU 알고리즘으로 보완 할 수 있지만 현재 실험 데이터가 없으며 명확한 성능을 기대하기 어렵고 적용시에도 머신러닝의 문제점인 높은 오탐률에 대한 개선해야한다. 최근 CNN과 GRU를 함께 이용하여 이미지에 대한 학습도를 향상 시키는 연구도 이루어지고 있으니 이에 맞춰 적용할 여지도 충분히 있다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

GRU를 활용한 악성코드 탐지의 관한 연구
A Study on Malicious Code Detection Using GRU 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

GRU를 활용한 악성코드 탐지의 관한 연구 A Study on Malicious Code Detection Using GRU 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

GRU를 활용한 악성코드 탐지의 관한 연구
A Study on Malicious Code Detection Using GRU 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper