テクニカル・サマリー：グラフニューラルネットワークを用いた、粒度の高いアセンブリフローによる透明性の高いマルウェア検出

問題提起

マルウェアがますます高度化し、回避技術が進歩する中で、検出システムも同様に知的かつ透明である必要があります。制御フローグラフ（CFG）にグラフニューラルネットワーク（GNN）を適用する手法は、マルウェア検出において有望視されていますが、本質的な説明可能性の欠如という課題を抱えています。既存のCFGに対するGNNベースの説明手法は、決定的な限界に直面しています。それは、CFGのノードが「基本ブロック（分岐のない命令のシーケンス）」を表しているため、その内部にある個々のアセンブリ命令が隠蔽されてしまうことです。その結果、GNNは粒度の細かい命令レベルの説明を提供できず、どの特定の命令が不正な予測を駆動しているのかについて曖昧さが残ります。さらに、すべての命令をノードとして表現するアセンブリフローグラフ（AFG）の膨大なスケールは、前処理、埋め込み、および学習におけるGNNの直接的な適用を計算量的に困難にしています。

手法

著者らは、粒度の高い説明可能性を実現しつつ、計算の実現可能性を維持するために、**アセンブリフローグラフ（AFG）とメタ粗視化（Meta-Coarsening）**アプローチを中心とした新しいフレームワークを提案しています。

1. グラフ構築

• アセンブリフローグラフ (AFG): 従来のCFGではノードが基本ブロックであるのに対し、AFGはその基本ブロック内の構成要素である逐次的なアセンブリ命令を単方向連結リストに置き換えます。エッジはこれらの命令リストの先頭と末尾を接続するように再ルーティングされ、すべてのノードが単一の命令を表すグラフを作成します。
• 命令エンコーディング: 命令は、Capstoneライブラリから派生した、オペコード、プレフィックス、および各種フラグを捉える1,103ビットのベクトルを使用してエンコードされます。

2. メタ粗視化アプローチ

大規模なAFGに伴う計算コストに対処するため、著者らは2段階の「メタ粗視化」パイプラインを導入しています。

• フェーズ1: CFG粗視化 (C-CFG): 巨大なAFGを直接粗視化する代わりに、基礎となるCFG（「メタ構造」）を粗視化します。これは計算量的に扱いやすく、AFGとの構造的類似性を保持します。この粗視化されたCFG（C-CFG）上でGNNを学習させ、説明器がこのレベルでの重要なサブグラフを特定します。
• フェーズ2: バックトラッキングとB-AFGの学習: C-CFGで特定された重要なサブグラフを階層を通じて元のAFGへと「バックトラック」させ、**バックトラックAFG（B-AFG）**データセットを作成します。このB-AFGには、説明に関連する特定の命令レベルのノードのみが含まれます。2つ目の独立したGNNをこれらのB-AFGに対して学習させ、最終的な、粒度の細かいアセンブリ命令レベルの説明を生成します。

3. 評価指標

論文では、説明の品質を定量化するために以下の指標を導入・活用しています。

• 忠実度スコア ($fid^+$ および $fid^-$): 必要性（サブグラフを取り除くと予測が変化するか）と十分性（サブグラフのみを保持することで予測が維持されるか）を測定します。
• 特性化スコア ($\lambda$): C-CFGレベルとB-AFGレベルの間の合意を測定するために適応された、忠実度スコアの加重調和平均です。
• $\beta$ インジケーター・スコア: 曖昧さを検出するための新しい指標です。説明がバイナリ（明確）であれば0を返し、非バイナリ（曖昧）であれば正の値を返します。具体的には、基本ブロックレベル（曖昧）と命令レベル（明確）の説明の違いを強調します。

主な貢献

1. アセンブリフローグラフ (AFG): バイナリ実行ファイルの完全なアセンブリ命令フローを捉え、命令レベルの粒度を可能にする新しいグラフ表現の提案。
2. メタ粗視化: AFGの粗視化を近似するCFGを粗視化することで、大規模なデータに対するGNNの学習を可能にしつつ、命令レベルへのバックトラック能力を保持する、計算の実現可能性を高めるための新しいアプローチ。
3. 粒度の高い説明可能性: GNNを用いたマルウェア検出において、アセンブリ命令レベルでの詳細な説明を提供する初のデモンストレーションであり、基本ブロックレベルのCFGに内在する曖昧さを解消。
4. 新しい指標: 説明の粒度を経験的に測定するための$\beta$インジケーター・スコアの定義、およびクロスレベルの説明の一貫性を評価するための$\lambda$スコアの適応。
5. ハイパーパラメータ制御: 計算要件と説明の表現力のバランスをユーザーが調整できるようにする、粗視化係数 $r$ と選択ポリシー $\epsilon$ というハイパーパラメータの特定。

実験結果

本手法は、Windows PE x86バイナリを含むCIC-DGG-2025データセットを用いて評価されました。

• 推論性能: メタ粗視化アプローチは、ベースラインと比較して同等または優れた精度を達成しました。具体的には、Kron粗視化（$r=0.25$）およびVariation Edges（$r=0.75$）が最良の結果（平均精度最大89.8%）を示し、適度な粗視化が正則化として機能し、汎化性能を向上させることを示唆しています。
• 説明可能性:
  • $\lambda$ スコアはKron ($r=0.25$) で最も高く（0.713）、粗いレベルと細かいレベルの説明間の強い一致を示しました。
  • 忠実度分析: C-CFGレベルでは高い必要性（$fid^+$）を示し、特定されたサブグラフの除去が誤分類を引き起こすことが示されました。B-AFGレベルでは高い十分性（$fid^-$）を示し、選択された命令サブグラフのみで正しい予測を維持できることが示されました。
  • 粒度: $\beta$ インジケーターは、すべての(C-)CFGレベルで1（曖昧であることを示す）でしたが、すべてのB-AFGレベルで0（明確な、バイナリの命令レベルの説明であることを示す）でした。
• クラス間の差異: 研究により、良性サンプルは悪性サンプルよりも一般的に説明しやすいことが観察されました。悪性クラスは特性化スコアが低く、これは悪性クラスが説明や一貫した予測がより困難であることを示唆しています。

重要性と主張

本論文は、GNNを用いたマルウェア検出において、アセンブリ命令レベルでの粒度の高い説明を検討した最初の事例であると主張しています。著者らは、従来のCFGやオペコードグラフを利用した研究では、命令が基本ブロックに集約されているため、曖昧さのない命令レベルの洞察を提供できなかったことを強調しています。

本研究の重要性は、以下の点にあります：

• 防御者が、どの命令が不正な分類に寄与しているのかを正確に理解できる、透明な検出システムを提供できること。
• メタ粗視化戦略を通じて、大規模な命令レベルのグラフに対するGNN適用の計算上の障壁を克服すること。
• グラフのサイズと説明の詳細度の間のトレードオフを、ハイパーパラメータを通じて制御するフレームワークを提供すること。

著者らは、本アプローチがアセンブリレベルの説明を正常に提供できることを結論付けており、これが大規模なマルウェア検出の説明可能性における将来の研究の基礎となり、防御者の行動特性把握を支援するものであるとしています。また、他のバイナリ形式への汎用性や、敵対的な回避に関する制限についても認め、今後の課題として、これらの問題を軽減するための敵対的学習や静的生成手法の探索を挙げています。