Deep Learning Enhanced Mathematical Model for Malware Propagation under Two-Level Security Protection

技術要約：2段階セキュリティ保護下におけるマルウェア伝播のためのディープラーニング強化数学モデル

問題提起
マルウェアの伝播は、コンピュータネットワークのセキュリティと信頼性に対する重大な脅威であり続け、単純なウイルスからWannaCryやRyukのような高度な脅威へと進化しています。従来の数学的モデルは、多くの場合、疫学的なSIR型フレームワークを応用してウイルス拡散の研究に使用されてきましたが、これらはすべての保護されたノードを等しく安全であると扱うことがよくあります。この簡略化は、デバイスごとにパッチ適用状況、設定の完全性、更新頻度が大きく異なるという、現実世界のネットワークにおける異種的なセキュリティ態勢を捉えることができません。さらに、ディープラーニングは動的システムの近似において有望であることが示されていますが、マルチレベルのセキュリティ状態を持つ複雑なマルウェア伝播モデルの計算効率の高いサロゲート（代理）モデルとしての具体的な適用については、さらなる調査が必要です。

手法
著者らは、非線形数学モデルとディープニューラルネットワーク（DNN）を組み合わせたハイブリッドフレームワークを提案しています。

1. 数学的定式化 (SP1P2IQRモデル):
   本研究では、6つのコンパートメント（感受性 $S$、弱保護 $P_1$、完全保護 $P_2$、感染 $I$、隔離 $Q$、回復 $R$）からなる疫病モデルを導入しています。

• 2段階の保護: 本モデルは、弱保護されたノード（有効性パラメータ $\epsilon$ によって決定される減少した割合で依然として感染の可能性がある）と、完全保護されたノード（完全に耐性があると仮定される）を区別します。
• ダイナミクス: システムは、ノードの流入 ($\Pi$)、伝播率 ($\beta$)、保護の採用 ($\alpha_1, \alpha_2$)、保護の喪失 ($\gamma$)、アップグレード ($\delta$)、隔離 ($\eta$)、および回復 ($\phi, \theta$) に関するパラメータを組み込んだ、一連の非線形常微分方程式 (ODE) によって制御されます。
• 定性的解析: 著者らは、解の正値性と有界性を厳密に確立し、不変領域 $\Omega$ の存在を証明しました。次世代行列法を用いて基本再生産数 ($R_0$) を導出し、マルウェアフリー平衡 (MFE) および流行平衡 (EE) の安定性を分析しました。

2. 感度分析:
   $R_0$ に対する正規化前方感度指数を計算し、マルウェアの持続に最も大きな影響を与えるパラメータを特定しました。

3. ディープニューラルネットワーク (DNN) サロゲート:
   反復的なODE解法の計算コストに対処するため、フィードフォワードDNNがサロゲートモデルとして開発されました。

• アーキテクチャ: ネットワークは、入力層（12ニューロン）、4つの隠れ層（それぞれ20、15、10、5ニューロン、活性化関数は双曲線正接関数 tansig を使用）、および予測対象である感染 ($I(t)$) と隔離 ($Q(t)$) のコンパートメントを出力する出力層（purelin を使用）で構成されています。
• 学習: ネットワークは、ode45 ソルバーによって生成されたデータを用いて、Levenberg-Marquardtバックプロパゲーションアルゴリズムを使用して学習されました。データセット（500時点）は、学習用70%、検証用15%、テスト用15%に分割されました。

主な結果

• 数学的安定性: 解析により、$R_0 < 1$ のときはMFEが局所漸近安定であり、$R_0 > 1$ のときは不安定であることが確認されました。$R_0 > 1$ のとき、一意の流行平衡が存在します。
• 感度に関する知見: 隔離率 ($\eta$) は最も強い負の感度指数 ($-0.8065$) を示し、隔離率を高めることが$R_0$を大幅に減少させることを示しました。伝播率 ($\beta$) とノード流入率 ($\Pi$) は、最も強い正の影響 ($+1.0$) を持ちました。完全保護の直接的な採用 ($\alpha_2$) は、弱保護の採用よりも$R_0$ を抑制する上で効果的であることが判明しました。
• 数値シミュレーション: シミュレーションの結果、$R_0 < 1$ の場合、ネットワークはマルウェアフリーの状態に収束することが示されました。逆に、$R_0 > 1$ の場合、システムは持続的な感染レベルを伴う安定した流行状態に落ち着きます。
• DNNの性能: DNNサロゲートモデルは、極めて高い予測精度を達成しました。
  • 精度: $I(t)$ および $Q(t)$ の平均二乗誤差 (MSE) は $9.94 \times 10^{-11}$ でした。
  • 回帰: モデルは両方のコンパートメントにおいて $R^2$ 値 $1.0000$ を達成しました。
  • 効率: ネットワークは936エポック（約2分10秒）で収束し、反復的なODE解法と比較して、学習後は即時の予測を提供します。
  • 汎化性能: モデルは、過学習することなく、補間および外挿の両方のシナリオにおいて堅牢な性能を示しました。

意義と主張
本論文は、提案されたハイブリッド数学・DNNフレームワークが、サイバーセキュリティ分析に対して以下の二重の貢献を行うと主張しています。

1. 現実的なモデリング: 2つの異なるレベルのセキュリティ保護を組み込むことにより、SP1P2IQRモデルは、一様なセキュリティを仮定する従来のモデルよりも、異種的なネットワーク環境をより正確に表現します。
2. 計算効率: DNNは、非常に高精度かつ計算コストの低いサロゲートモデルとして機能します。これは、非線形なマルウェア拡散のダイナミクスを無視できるほどの誤差で捉え、リアルタイムアプリケーションや迅速なシナリオ分析のための実行可能な代替手段を提供します。

著者らは、このフレームワークが理論的な疫学モデリングと人工知能を効果的に橋渡しし、様々なセキュリティ条件下におけるマルウェアのダイナミクスを理解し予測するための有用なツールを提供すると結論付けています。今後の課題として、時間遅延や確率的ネットワーク効果をモデルに拡張することを提案しています。