Empirical Analysis of Evasion and Poisoning Against Malware Data Drift Detection
Diese Arbeit untersucht, wie Evasion- und Poisoning-Angriffe, die typischerweise darauf ausgelegt sind, Malware-Klassifikatoren zu kompromittieren, die kombinierte Operation von Data-Drift-Detektoren und Malware-Klassifikatoren auf einzigartige Weise beeinflussen, wobei sie aufzeigt, dass die distinkten Charakteristika von Drift-Detektoren die Wirksamkeit und das Verhalten dieser adversen Angriffe verändern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind der Sicherheitswachmann in einem riesigen, hochmodernen Nachtclub. Ihr Job ist es, Unruhestifter (Malware) zu entdecken und draußen zu halten, während Sie die guten Gäste (gutartige Software) hereinlassen. Lange Zeit haben Sie eine Liste mit den Gesichtern bekannter Unruhestifter verwendet, um dies zu tun. Aber Unruhestifter sind gerissen; sie ändern ihr Haar, tragen Verkleidungen oder lassen Bärte wachsen, um wie normale Leute auszusehen. Um dem entgegenzuwirken, haben Sie eine kluge KI eingestellt, die Ihnen hilft, den „Vibe“ eines Unruhestifters zu erkennen, selbst wenn er anders aussieht.
Aber es gibt einen Haken. Im Laufe der Zeit verändert sich die Menge im Club. Der „Vibe“ der Nachbarschaft verschiebt sich, und die KI beginnt verwirrt zu sein, weil die Leute, die hereinkommen, nicht so aussehen wie die Menschen, die sie vor Jahren kannte. Dies nennt man Concept Drift. Um dies zu beheben, stellt der Club eine zweite KI ein, einen „Drift Detector“. Diese zweite KI kümmert sich nicht darum, ob jemand ein Unruhestifter oder ein guter Gast ist; sie achtet nur darauf, ob jemand auffällig anders aussieht als die übliche Menge. Wenn jemand zu seltsam aussieht, meldet der Drift Detector dies, damit ein menschlicher Wachmann nachsehen kann. Die Idee ist: Wenn ein Unruhestifter versucht, sich zu verkleiden, könnte der Drift Detector ihn trotzdem erwischen, falls er dadurch zu seltsam aussieht.
Aber hier kommt der Clou: Was, wenn die Unruhestifter von beiden Wachleuten wissen? Was, wenn sie es schaffen, die Haupt-KI glauben zu lassen, sie seien gute Gäste, und gleichzeitig den Drift Detector zu täuschen, dass sie völlig normal aussehen? Diese Arbeit stellt genau das: Können böswillige Akteure einen Doppelstreich landen – das System, das die Bösen erwischt, austricksen UND gleichzeitig das System austricksen, das die Seltsamen erwischt? Die Forscher wollten sehen, ob Angreifer diesen Doppel-Trick schaffen können: Das System zu täuschen, das die Bösen fängt, während sie gleichzeitig das System täuschen, das die Seltsamen erwischt. Sie testeten dies, indem sie versuchten, „vergiftete“ Gäste (die sich in die Trainingsliste einschleusen) und „getarnte“ Gäste (die versuchen, an der Tür vorbeizuschlüpfen) einzuschleusen.
Der Doppel-Blind-Raubüberfall
Die Forscher gestalteten einen digitalen Raubüberfall, um zu sehen, wie gut diese zwei Sicherheitssysteme zusammen gegen einen Angreifer arbeiten. Sie verwendeten reale Daten aus zwei verschiedenen „Nachbarschaften“ (Datensätze namens Bodmas und Androzoo), die Tausende von Software-Proben enthielten. Das Opfer (der Clubbesitzer) verfügte über zwei Hauptwerkzeuge: einen Malware-Klassifizierer (den Haupt-Türsteher) und einen Drift Detector (den Beobachter für Seltsamkeiten). Das Ziel des Angreifers war einfach, aber knifflig: Ein Stück Malware so aussehen zu lassen, als sei es eine harmlose App für den Türsteher, und sicherzustellen, dass sie nicht „seltsam“ genug aussieht, um vom Beobachter für Seltsamkeiten markiert zu werden.
Der Angreifer hatte einige Regeln zu befolgen, genau wie ein echter Krimineller, der versuchen muss, unter dem Radar zu bleiben. Er durfte die Funktionalität der Malware nicht brechen (die App musste weiterhin funktionieren) und auch das Dateiformat nicht ändern. Er konnte nur bestimmte Merkmale anpassen, wie zum Beispiel zusätzlichen Platz hinzufügen oder bestimmte Zahlen ändern, aber er durfte keine Dinge löschen, die für die Funktion der Datei notwendig waren. Zudem hatte er keinen vollen Zugriff auf die Sicherheitskameras des Clubs; er kannte nur 10 % der Gäste und musste seine eigenen „Surrogat-Modelle“ (gefälschte Sicherheitssysteme) bauen, um seine Tricks zu üben, bevor er sie am echten System ausprobierte.
Die überraschenden Ergebnisse
Die Forscher probierten zwei Hauptarten von Angriffen aus: Evasion (das Einschleichen getarnter Malware am Wachpersonal vorbei) und Poisoning (das Einschleusen gefälschter „guter“ Gäste in die Trainingsliste, damit die Wachleute falsche Lektionen lernen).
Die Evasion-Überraschung:
Als die Forscher versuchten, Malware durch das Hinzufügen kleiner „Perturbationen“ (winziger Änderungen) an den Dateien am System vorbeizuschmuggeln, stellten sie etwas Kontraintuitives fest. Normalerweise ist es in der Welt der KI einfacher, einen Klassifizierer zu täuschen, wenn man größere Änderungen vornimmt. Wenn man ein Gesicht stark genug verändert, erkennt die KI es nicht mehr. Aber hier wirkte der Drift Detector wie ein strenger Türsteher, der jede Änderung hasst.
Wenn die Angrefer die Malware zu stark veränderten, um den Haupt-Türsteher zu täuschen, wurde der Drift Detector misstrauisch. Er sah diese stark modifizierten Dateien als „Out of Distribution“ an – das heißt, sie sahen überhaupt nicht wie die normale Menge aus. Der Drift Detector markierte sie als seltsam, und der menschliche Wachmann erfasste sie. Die Studie fand heraus, dass bei Systemen, die einen speziellen Typ von Drift Detector namens CADE (der einen kontrastiven Autoencoder nutzt) verwenden, eine größere Perturbation den Angriff tatsächlich erschwerte. Je größer die Tarnung war, desto wahrscheinlicher war es, dass der Drift Detector sie entdeckte. Die Angreifer mussten unglaublich präzise vorgehen und den „Sweet Spot“ finden, an dem die Malware für den Drift Detector normal genug aussah, aber dennoch den Haupt-Klassifizierer täuschte.
Das Poisoning-Paradoxon:
Der Poisoning-Angriff war noch interessanter. Der Angreifer versuchte, „Backdoor“-Malware einzuschleusen, die als harmlose Apps getarnt war. Die Idee dahinter: Wenn der Clubbesitzer sein Sicherheitssystem unter Verwendung dieser gefälschten Gäste neu trainiert, würde das neue System die echte Malware später durchlassen.
Die Forscher entdeckten jedoch, dass das Hinzufügen von mehr vergifteten Gästen nicht immer half. Tatsächlich führte das Hinzufügen zu vieler vergifteter Proben bei dem CADE-basierten Drift Detector dazu, dass der Angriff fehlschlug. Warum? Weil der interne „Raum“ (Embedding Space) des Drift Detectors begrenzt ist. Wenn zu viele vergiftete Proben in den Bereich der „guten Gäste“ gequetscht wurden, wurde das System verwirrt. Um die vielen leicht unterschiedlichen Proben sinnvoll zu ordnen, begann der Drift Detector, sie vom Zentrum der „guten Gäste“-Gruppe wegzudrücken. Dadurch sahen die vergifteten Proben wieder seltsam aus, was dazu führte, dass der Drift Detector sie markierte. Die Arbeit legt nahe: Je mehr man versucht, in das System hineinzustopfen, desto mehr drängt das System das schlechte Zeug wieder heraus.
Was dies für die Zukunft bedeutet
Die Arbeit kommt zu dem Schluss, dass der Angriff auf ein System mit sowohl einem Klassifizierer als auch einem Drift Detector ein empfindliches Gleichgewicht ist. Es geht nicht nur darum, die Malware wie einen Guten aussehen zu lassen; es geht auch darum, sicherzustellen, dass sie nicht zu anders aussieht als die Menge.
Die Forscher fanden heraus, dass die Art des Drift Detectors entscheidend ist. Systeme wie Transcendent (die eine andere Methode basierend auf statistischer Konfidenz nutzen) waren leichter mit großen Änderungen zu täuschen als CADE. Aber für CADE mussten die Angreifer sehr vorsichtig sein. Wenn sie die Malware zu weit in Richtung der „Benign“-Seite schoben, driftete sie zu weit vom „Zentrum“ der guten Menge weg und wurde erwischt.
Letztlich zeigt die Arbeit, dass während Angreifer sehr clever sein können, die einzigartige Funktionsweise dieser Drift Detectors eine neue Art der Verteidigung schafft. Genau der Mechanismus, der dem System hilft, sich an neue Bedrohungen anzupassen (indem er bemerkt, wenn Dinge anders aussehen), macht es auch schwieriger für Angreifer, unentdeckt zu bleiben. Die Studie deutet darauf hin, dass ein Angreifer, um diese Verteidigung zu brechen, seine Werkzeuge (Surrogat-Modelle) und seine Tricks (Loss-Funktionen) mit extremer Präzision wählen müsste, um perfekt mit der Art und Weise, wie der Drift Detector die Welt sieht, zu harmonieren. Es ist ein Katz-und-Maus-Spiel, bei dem die Maus gerade so seltsam sein muss, dass sie unsichtbar bleibt, aber nicht so seltsam, dass sie erwischt wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.