중첩된 LDA를 이용한 악성 바이트 스트림 분석

초록

온라인 문서들이 점점 더 많이 생겨남에 따라, 문서형 파일에 대한 악의적인 공격에 취약해지고있다. 최근 데이터 기반 접근법이 악성코드 탐지에서 성공적인 결과를 보여주고 있다. 이러한 방법은주로 데이터셋에 크게 의존하므로, 정답이 태깅된 데이터를 충분히 많이 만드는 것이 필요하다. 하지만태깅 작업은 도메인 전문가들이 수동으로 수행하므로, 파일을 분석하고 태깅 작업을 지원하는 도구를개발하는 것이 필요하다. 본 논문에서는 파일을 자동으로 분석하고, 중첩 디리클레 할당 방법을 사용하여 바이트 단위의 레이블을 자동 생성하는 방법을 제안한다. 이 방법은 주어진 바이트들을 악성코드와정상 파일 등 두 가지 이상의 그룹으로 군집화한다. 데이터셋을 이용한 실험 결과, 높은 재현율(95~100%)을 달성함을 확인하였다. 데이터의 정답이 희소하게 태깅되어 있어 정밀도가 낮아지는 문제를 겪었지만, 악성 의심 바이트를 찾는 데 도움을 줄 가능성이 있음을 확인할 수 있었다. 찾아낸 바이트들은 다양한 색상으로 하이라이트되었으며, 이에 대한 샘플 결과를 시각화하여 제공하였다.

키워드