Explainable Attention-Guided Stacked Graph Neural Networks for Malware Detection

技術的概要：マルウェア検出のための説明可能な注意機構駆動型スタッキンググラフニューラルネットワーク

問題定義
現代のコンピューティング環境におけるマルウェア検出は、回避技術の複雑化と従来のシグネチャベース手法の限界により、重大な課題に直面している。グラフニューラルネットワーク（GNN）は、制御フローグラフ（CFG）のようなプログラム表現内の構造的依存関係をモデル化する上で有望を示しているが、単一モデルのアプローチは、一般化能力の限界と解釈性の欠如に悩まされることが多い。高リスクのセキュリティ応用において、モデルがなぜサンプルをマルウェアと判定したかを説明できないことは、分析家に対する信頼性と実行可能な洞察を阻害する。さらに、既存のアンサンブル手法は、メタ学習器が多様なベース学習器の予測を組み合わせるスタッキングモデルの解釈性を十分に扱えていない。

手法
本論文は、グラフベースのマルウェア検出と説明を目的とした新しいスタッキングアンサンブル（SE）フレームワークを提案する。手法は以下の 4 つの主要コンポーネントで構成される。

1. 動的 CFG 抽出とノード埋め込み:

   • システムは、angr フレームワークを使用してポータブル実行ファイル（PE）から CFG を動的に抽出する。これは、符号実行と制約充足を組み合わせて、難読化や間接ジャンプに対処する。
   • 2 段階の機能埋め込み戦略により、基本ブロック（ノード）をエンコードする。
     • ルールベースエンコーディング: 各基本ブロック内のアセンブリ命令を 7 つのコンポーネント（プレフィックス、オプコード、ModRM、SIB、ディスプレースメント、即値、オプション）に分解し、439 次元のベクトルにエンコードする。
     • 次元削減: 教師なしオートエンコーダが、これらの高次元ベクトルを、本質的な意味情報と構造的な情報を保持したまま、コンパクトな 64 次元の潜在空間に圧縮する。

2. 多様な GNN ベース学習器:

   • フレームワークは、相補的な振る舞い特徴を捉えるために、多様な GNN モデル群をベース学習器として採用する。具体的には、グラフ畳み込みネットワーク（GCN）、グラフ同型ネットワーク（GIN）、およびグラフ注意ネットワーク（GAT）を利用する。
   • これらのモデルは、メッセージパッシング機構（スペクトル平滑化、トポロジカル識別、注意機構に基づく重み付け）において異なり、表現の多様性を確保する。
   • 各ベース学習器は、良性クラスとマルウェアクラスに対する確率分布を出力する。

3. 注意機構ベースのメタ学習器:

   • 注意機構を備えた多層パーセプトロン（MLP）として実装されたメタ学習器が、ベース学習器の予測を集約する。
   • 注意機構は、各ベース学習器の出力に対して重み（$\alpha_i$）を計算し、最終的な決定に対する相対的な寄与を定量化する。これにより、モデルは特定のインスタンスに対して異なる GNN アーキテクチャの重要性を適応的に重み付けできる。
   • メタ学習器は 5 回交差検証戦略を用いて訓練される。ここでは、ベース学習器がデータのサブセットで訓練され、保持されたフォールドで評価されてメタ訓練データセットが生成される。

4. 集約駆動型説明可能性:

   • アンサンブルの「ブラックボックス」性質に対処するため、本論文は事後（post-hoc）説明手法を導入する。
   • 最先端の GNN 説明器（統合勾配、ガイド付きバックプロパゲーションなど）が、各ベース学習器に対してエッジレベルの重要度スコア（$\beta_{i,k}$）を生成する。
   • これらのスコアは正規化され、メタ学習器が学習した注意重み（$\alpha_i$）を用いて集約される。最終的なエッジ重要度スコア（$\beta_{a,k}$）は、個々の説明の重み付き和であり、最終的な分類決定と整合するアンサンブルを考慮した解釈を生成する。

主な貢献

• 新規 SE フレームワーク: PE ファイルから抽出された動的 CFG から、多様な GNN ベース学習器が相補的な構造的および意味的情報を捉える、グラフベースのマルウェア検出のためのスタッキングアンサンブルフレームワーク。
• 注意機構ベースのメタ学習器: 正確な分類のために予測を集約するだけでなく、最終的な決定に対する各モデルの寄与の解釈可能な帰属を提供する、注意機構を備えたメタ学習器の導入。
• アンサンブルを考慮した説明: メタ学習器の注意重みを用いて個々のベースモデルからのエッジレベル重要度スコアを融合し、アンサンブルの集合的な推論を反映する統合された説明を生成する、新しい事後説明手法。

実験結果
本フレームワークは、BODMAS および PMML からのマルウェアサンプルと、DikeDataset からの良性サンプルで構成されるデータセットで評価された。

• 分類性能: 提案された SE モデルは 86.14% の精度を達成し、個々のベースモデル（GCN、GIN、GAT）および標準的な平均アンサンブル（AE）を上回った。特にマルウェアクラスにおいて、SE モデルは 91.18% のリコールと 89% の F1 スコアを達成し、個々のモデルと比較して偽陰性を大幅に減少させた。
• ロバスト性: 偽エッジの注入（10% から 30% の難読化）を含む敵対的条件下において、SE モデルは優れた耐性を示し、ベース学習器および AE と比較して最小の精度低下（30% 難読化で -2.1%）を示した。
• 説明可能性: 忠実度指標（$Fidelity^+$ および $Fidelity^-$）は、集約ベースの説明手法が影響力のある部分グラフを効果的に特定したことを示した。この手法は、個々のベースモデルからの説明と比較して低い $Fidelity^-$ 値（特定された部分グラフが重要な情報を保持していることを示す）を達成しつつ、同程度の $Fidelity^+$ スコアを維持した。

意義と主張
本論文は、提案されたフレームワークがマルウェア検出における精度と解釈性の二重の課題に対処すると主張している。注意機構駆動型のスタッキングメカニズムを通じて多様な GNN アーキテクチャの相補的な強みを活用することで、システムは一般化能力を向上させ、回避技術に対するロバスト性を高める。重要なのは、提案された説明手法が、複雑なアンサンブルの決定と人間の理解の間のギャップを埋め、セキュリティ分析家に対して、マルウェア検出を駆動する特定の制御フローパターンに対する透明性がありモデルに依存しない洞察を提供することである。著者らは、この研究を、特に高度で難読化されたマルウェアの分析に向けた、より信頼性が高く効果的な AI 駆動型セキュリティシステムへの一歩として位置づけている。