XAI를 이용한 CNN 기반 리눅스 악성코드 탐지

 

📌 논문

XAI를 이용한 CNN 기반 리눅스 악성코드 탐지.pdf

0.93MB

 

📌 논문 선정 이유 

 

논문 분석을 하면서 악성코드와 인공지능과 관련된 내용을 다뤄보고싶었는데, 그 두가지를 충족시키는 논문을 찾게되어 해당 논문을 분석을 하게되었다.

 

📌 서론 (요약)

설명가능한 인공지능(XAI)이란 무엇인가 (brunch.co.kr)

설명가능한 인공지능(XAI)이란 무엇인가

 

 

 

XAI란?

설명가능한 인공지능을 뜻한다.

• 4차 산업혁명과 IT기술 발전과 함께 악성코드를 이용한 공격이 증가하고 있으며, 이에 대한 종류 역 시 다양해지고 있다.
• 최근에는 컴퓨터,스마트폰, IoT 디바이스 등과 같은 기기의 종류뿐만 아니라 윈도우 및 Linux와 같은 운영체제에서 동작 가능한 악성코 드가 제작되고 있다.
• 지난 10년 동안 IoT(Internet of Things) 환경에서 의 임베디드 디바이스를 타겟으로 하는 악성코드가 증가하고 있으며,이를 탐지하고 방어하기 위한 기술 들이 연구되고 있다.
• 특히 IoT 관련 응용 플랫폼이 널리 보급되면서 공격에 목표가 될 수 있는 공격 표 면(Surface)이 광범위하게 증가하고 있다.
• 기존 악성 코드 탐지 및 방어에 대한 기술은 대부분 Windows 운영체제 환경을 기반으로 하고 있다.
• 현재, IoT 및 클라우드 컴퓨팅 분야에서는 Linux가 널리 사용되 고 있으며, Linux 환경을 기반으로 악성코드 탐지에 대한 연구는 부족한 실정이다.
• 따라서 Linux 악성코드의 탐지 방안의 개발이 필수적이다.
• 기계학습 등의 발달로 머신러닝과 딥러닝 같은 인 공지능을 구현하는 기술이 급격히 증가하고 있다.
• 우회 전략에도 대응이 가능한 안정 적인 모델을 만들어야 하는 것은 AI 보안의 중요한 목표이다.
• 보안 분 야에서 신뢰성과 안정성이 중요하지만 모델 예측에 대한 사용자의 이해도가 떨어질 경우,광범위한 적용 이 어렵다.
• 이러한 문제점을 해결하기 위해 XAI (Explainable Artificial Intelligence) 기술 도입이 필요하다.
• XAI는 인공지능 모델의 출력 결과의 신뢰도,예측 의 근거, 잘못된 결과가 도출되었을 경우 그 원인, 그리고 개선 방안 기술을 모두 포함한다.

 

 

 

 

위 내용은 DARPA(Defense Advanced Research Projects Agency)가 제시한 XAI의 개념을 나타내고 있다.

 

DARPA는 XAI의 목적을 모델의 복잡성 감소, 모델 예측의 신뢰성, 의사 결정을 위한 인공지능 모델의 활용 세 가지로 정의

한다.

리눅스 환경에서의 보안성을 높이기 위해,CNN (Convolutional neural network) 모델을 활용하여 리 눅스 기반의 악성코드 탐지 시스템을 제안하고 있다.

해당 논문은 정상과 악성코드 파일을 이미지로 변환 한 후, 이 악성코드 이미지를 CNN모델로 학습학습, 그런 다음, LRP(Layer-wise Relevance Propaga tion) 모델을 사용하여 시각화된 이미지에서 악성과 정상을 분류하는 특징을 추출하고 이를 구분 짓는 특징점을 시각화하고 있다.

 

 

[ 추가 공부 자료 ]

[개념정리] Filter Visualization(필터 시각화) (velog.io)

[개념정리] Filter Visualization(필터 시각화)

 

 

📌 본론 (요약)

 

 

✅ 배경 (XAI를 이용하는 이유..etc)

 

XAI는 딥러닝과 머신러닝과 같은 인공지능 기술 이 가지고 있는 블랙박스 특성으로 인한 한계를 극복 하고자 하는 기술적인 접근이다.

 

문제점 ➡️ 기술 발전으로 인공지능이 스스로 학습에 필요 한 특징을 잘 선택하지만 인공지능이 결정한 최종 결과와 결과 도출 과정에서 학습 데이터가 편향되었 거나 악의적인 알고리즘의 조작이 개입될 경우에 잘 못된 판단을 내릴 수 있다는 위험이 존재함.

 

문제 해결 ➡️ 인공지능 모델이 학습한 특징과 판단 과정을 명확하게 설명함으로써, 사용자나 관리자가 모델의 동 작을 투  명하게 이해할 수 있게끔 도와줌.

                ➡️ 모델의 예측이 어떤 기준으로 이루어졌는지에 대한 정보를 제공하여 사용자에게 높은 신뢰도의 결과를 제공할 수 있도록 함.

 

🔻XAI는 모델이 학 습한 데이터의 편향을 식별하고 이를 개선할 수 있는 방안을 제시하는 데에도 기여

🔻 XAI는 인공지능의 윤리 적인 측면에서도 중요한 역할을 수행할 것으로 기대 되며, 또한 모델의 편향을 개선할 수 있게 도와줄 수 있음.

 

 

📌LRP(Layer-wise Relevance Propagation)

LRP은 신경망 모델에서 결과를 역추적하여 Input 데이터의 개별적인 특징에 대한 기여도를 계산하는 방법

타당성 전파(Relevance Propagation)와 분해(Decomposition) 방법을 사용해 모델의 작동을 분석

 

📌 CNN(Convolutional neural network)

CNN은 시각 인지 능력을 모방하는 방식으로 이 미지 처리 성능이 높은 인공지능 기술

CNN은 다수의 convolution layer, pooling, fully connected layer로 구성

 

 

 

✅ 제안 방법

 

 

악성/정상코드 파일의 이미지 변환

• 정상 리눅스 파일과 악성 리눅스 파일을 파일명, 각 픽셀 값이 구분된 csv 파일 형태로 수
• 이진 데이터를 Numpy 라이브러리를 사용해 배열로 변환하고 배열 크기를 조정하여 이미지 크기를 계산 해 이미지화를 해줌
• CNN 모델은 고 정 크기 입력에만 제대로 동작하기 때문에 이미지의 크기를 고정된 값으로 변환

각 (a) 정상 코드 파일과 (b), (c) 악성코 드 파일을 gray-scale로 영상 처리하고 32*32 크기 의 정사각형으로 고정하여 이미지 변환 단계를 마친 그림

 

모델 설계

 

 

 

➡️ 리눅스 악성코드 탐지를 위한 CNN 모델의 신경망 구성

 

제안한 모델은 총 4,808,306개의 학습 가능한 파라미터를 가져, 효과적 인 악성, 정상 파일의 분류가 가능

 

 

 

✅ XAI 적용

 

LRP는 딥러닝 모델을 역방향 으로 분석하기 위하여 분해(Decomposition) 기법을 활용하며, 기여도를 산정할 때는 타당성 전파 (Relevance Propagation)을 사용

 

• 분해 기법은 입력된 feature 하나가 결과 해석에 미치는 영향을 분석하는 방법

 

CNN에 LRP 모델을 적용시킨 결과

 

• LRP에서 파란 pixel의 강도는 중요도를 나타낸다. 밝은 파란색은 높은 중요도를,어두운 파란색은 상대 적으로 낮은 중요도를 나타냄
• heatmap을 해석 해보면 input x로 들어온 이미지가 각각 악성, 정상 일 확률에 영향을 준 것은 밝은 파란색 부분임을 알 수 있음
• 기여도 분해로 결과의 영향을 얼마나 미치는가를 색의 직관적인 변화로 어떤 pixel이 긍정 적인 영향을 미치는지 부정적인 영향을 미치는지 확인

 

LRP 결과에 pixel 당 중요도의 평균과 표준편차를 시각화한 (a) 정상파일, (b)와 (c)는 악성 파일

 

 

• 시각화 결과 오른쪽의 스펙트럼 바의 색 분포에 따라 중요한 pixel이 집중되어 있는 영역, 중요도가 불안정한 영역 을 식별할 수 있음
• 중요도 분포의 특성을 파악하거나 중요한 영역을 식 별할 때 유용
• 그림 아래의 LRPSummary Statistics 값 세 가지는 각각 평균 중요도, 최소 중요 도, 최대 중요도이고 평균 중요도가 높을수록 네트워 크가 해당 입력의 해당 부분을 중요하게 여기고 있음을 알 수 있음
• 최대 중요도가 높을수록 해당 입력에 서 네트워크가 특히 주목하는 영역이 있음을 알 수 있으며, 최소 중요도가 나타내는 부분은 네트워크 판 단에서 상대적으로 중요하지 않거나 관련성이 적은 부분을 나타냄

 

 

✅ 실험 결과

 

 

* 실험 환경

➡️ 악성 파일과 정상 파일의 비율은 1:1로 균등하 게 하였고 실험 중 학습 데이터(train data)와 검증 데이터(test data)는 최적의 결과를 얻을 수 있었던 8:2 비율로 구성 

• Ubuntu 22와 Tensorflow와 Keras로 실험을 진행
• 실험 데이터는 Kaggle의 Linux normal dataset으로 정상 리눅스 파일을 사용
• VirusShare에서 2019_elf_zip 리눅스 악성코드 파일 과 20140617_elf_zip 리눅스 악성코드 파일을 사용

 

* 실험 결과

TP(True Positive) : 악성코드를 악성으로 정확히 분류한 경우

FN(False Negative) : 악성코드를 정상 데이터로 분류한 경우

FP(False Positive) : 정상 데이터를 악성코드로 잘못 분류한 경우

TN(True Negative) : 정상 데이터를 정상 데이 터로 정확히 분류하는 경우

 

 

 

 

 

 

📌 결론

 

• 본 논문에서는 심층 신경망을 적용한 기법 중 CNN를 이용하여 리눅스 악성파일과 정상 파일을 이 미지로 분류한 후 XAI를 도입한 기법을 제안한다.
• 입력 데이터로 리눅스 악성 파일과 정상 파일을 각각 이미지로 변환하였고 이를 CNN을 이용해 분류하여 출력에서 악성파일이면 1, 정상 파일이면 0으로 target을 설정해 올바른 분류를 하였는지 확인할 수 있다.
• AI의 Black-box 특성을 보완하기 위해 XAI 기술 중 LRP 기법을 사용하였고 히트맵을 이용해 결과를 시각화하여 기여도를 토대로 도움이 된 부분의 색 변 화로 pixel 별 영향력과 중요도의 직관적 이해를 도울 수 있었다.
• 현재 인공지능을 활용한 악성코드 탐지 연구가 활발하게 진행되고 있음에도 불구하고,보안 분야에서 XAI 기술의 적용 사례는 아직 그리 흔하지 않은 상태이다.
• 본 연구는 보안 분야에서의 인공지능 기술 도입에 있어 XAI의 중요성을 강조하며, 이를 통해 해석 가능성과 신뢰성을 높일 수 있는 방향을 제시한다.

 

📌 느낀점

 

AI의 문제점을 보완하기 위해 XAI기술이 활용될 수 있으며, XAI라는 기술이 무엇인지 알 수 있었다.

최근 chatGPT와 같이 인공지능 연구가 활발하게 진행되고 있으며, 특히나 인공지능을 활용한 악성코드 탐지연구가 활발하게 진행되고 있다.

AI 챗봇을 이용해 악성코드를 작성할 수있다는 것도 들은 바가 있다.

하지만, 아직 보안 분야에서  XAI 기술의 적용 사례가 그리 흔하지 않다는 점이 놀라웠다. 해당 논문은 보안 분야에 인공지능 기술 도입에 있어 XAI기술의 필요성과 중요성을 보여주는 것 같았고, 나도 보안 분야에서 일하고 싶은 한 사람으로 해당 기술에 대한 개념과 쓰임에 대해 익히고 싶다는 생각을 했고, 도래할 미래에 발맞춰 다양한 기술을 습득하는 것에 대한 필요성을 다시한번 느낄 수 있었다.