🤖 machine learning

FARM: Few-shot Adaptive Malware Family Classification under Concept Drift

이 논문은 진화하는 위협 환경에서 개념 드리프트를 감지하고 소량의 레이블된 샘플만으로 신속하게 적응하여 윈도우 PE 멀웨어 가족 분류 성능을 향상시키는 통합 프레임워크인 FARM 을 제안합니다.

원저자: Numan Halit Guldemir, Oluwafemi Olukoya, Jesús Martínez-del-Rincón

게시일 2026-03-16

📖 4 분 읽기☕ 가벼운 읽기

원저자: Numan Halit Guldemir, Oluwafemi Olukoya, Jesús Martínez-del-Rincón

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

이 논문은 **"FARM(악성코드 가족 적응형 인식)"**이라는 새로운 시스템을 소개합니다. 이 시스템을 이해하기 위해 먼저 악성코드 (바이러스) 와 보안 시스템이 작동하는 방식을 일상적인 비유로 설명해 보겠습니다.

🏠 비유: 보안관과 변장한 도둑들

상상해 보세요. 어떤 건물의 **보안관 (기존 보안 시스템)**이 있습니다. 이 보안관은 과거에 잡았던 **도둑들 (악성코드 가족)**의 얼굴과 행동 패턴을 기억하고 있습니다.

문제: 변하는 세상 (Concept Drift)
- 도둑들은 똑똑합니다. 시간이 지나면 옷을 갈아입거나 (기존 악성코드의 변형), 완전히 새로운 얼굴로 위장해서 들어옵니다 (새로운 악성코드 가족).
- 기존의 보안관은 "이건 내가 아는 도둑 A 가 아니야"라고 생각하면 그냥 지나치거나, 반대로 "이건 도둑 A 가 틀림없다"라고 잘못 판단합니다. 이렇게 시간이 지날수록 보안관의 실수가 늘어나는 것을 **'개념 변화 (Concept Drift)'**라고 합니다.
기존 시스템의 한계
- 보통의 보안 시스템은 "이 도둑이 내 기억 속 도둑 A 와 얼마나 비슷할까?"를 확률로 계산합니다. 하지만 도둑들이 아주 똑똑하게 위장하면, 보안관은 "아, 이건 A 가 맞다"라고 과신하게 되어 실수를 범합니다.
- 또, 완전히 새로운 도둑이 나타나면, 보안관은 "이건 누구지?"라고 몰라보지만, 어쩔 수 없이 기존 도둑 중 하나라고 억지로 분류해 버립니다.

🚜 FARM 시스템의 작동 원리

이 논문에서 제안한 FARM은 이런 문제를 해결하기 위해 세 가지 단계로 작동하는 똑똑한 보안 시스템입니다.

1 단계: '지문'을 만드는 훈련 (Triplet Autoencoder)

보안관은 도둑들의 얼굴을 단순히 외우는 게 아니라, **지문 (잠재 공간)**을 만들어냅니다.

비유: 도둑 A 와 도둑 B 는 서로 다른 지문을 가지고 있지만, 같은 가족 (악성코드 가족) 에 속한 도둑들은 서로 비슷한 지문 패턴을 가집니다.
FARM 은 이 지문들을 3 가지 그룹으로 묶어서 학습합니다. (내 가족 vs 내 가족의 다른 멤버 vs 남의 가족). 이렇게 하면 도둑들이 옷을 갈아입어도 지문 패턴은 비슷하게 유지되도록 훈련됩니다.

2 단계: '의심스러운 사람'을 가려내기 (Drift Detection)

보안관은 입구에서 들어오는 사람 (새로운 파일) 을 지문 비교기로 확인합니다.

DBSCAN 이라는 도구: 이 도구는 지문 패턴이 비슷한 사람끼리 **무리 (클러스터)**를 지어줍니다.
동작: 만약 들어온 사람의 지문이 기존에 알려진 모든 도둑 무리에서 너무 멀다면? 보안관은 "이 사람은 내가 아는 도둑이 아니야!"라고 **의심 (Drift Detection)**을 합니다.
이때 단순히 "모르겠다"라고 넘기지 않고, "이 사람은 의심스럽다"라고 표시해 두는 것이 핵심입니다.

3 단계: 빠른 적응과 장기적인 학습 (Adaptation)

의심스러운 사람들이 모이면 FARM 은 두 가지 방식으로 대응합니다.

A. 소수의 증거로 빠르게 대응 (Few-shot Adaptation)
- 상황: 완전히 새로운 도둑 가족이 10 명 정도만 들어왔을 때입니다.
- 대응: 보안관은 "아, 이 10 명은 새로운 가족이구나!"라고 바로 인식합니다.
- 비유: 새로운 도둑 가족이 10 명만 보여도, 보안관은 그 가족의 대표 얼굴 (프로토타입) 을 만들어서 "이 가족은 이제 내 목록에 추가됨"이라고 등록합니다. 새로운 도둑 가족을 10 명만 봐도 바로 알아보는 것입니다. (이게 바로 'Few-shot' 학습입니다.)
B. 충분한 증거가 모이면 다시 공부하기 (Full Retraining)
- 상황: 의심스러운 사람들이 계속 모여서 100 명 이상이 되었을 때입니다.
- 대응: 보안관은 이제 "이제 이 새로운 가족을 완전히 내 시스템에 통합해야겠다"라고 생각하며, 전체 시스템을 다시 훈련시킵니다.
- 비유: 새로운 도둑 가족이 너무 많아졌으니, 보안관 학교를 다시 열어 모든 도둑들의 지문을 다시 정리하고 새로운 기준을 세우는 것입니다.

🌟 이 시스템이 왜 특별한가요?

새로운 도둑도 알아챕니다: 기존 시스템은 새로운 도둑을 못 알아보는 경우가 많았는데, FARM 은 새로운 도둑이 나타나면 즉시 "이건 낯선 사람이다"라고 감지합니다.
적은 정보로도 학습합니다: 새로운 악성코드 가족을 학습시키기 위해 수천 개의 샘플이 필요하지 않습니다. 10 개 정도의 샘플만 있어도 바로 인식할 수 있습니다. (실제 악성코드 분석은 비용이 많이 들고 시간이 걸리기 때문에 이는 매우 중요합니다.)
두 가지 문제를 한 번에 해결합니다:
- 기존 도둑의 변장 (Covariate Drift): 옷을 갈아입은 기존 도둑을 알아맞힙니다.
- 완전 새로운 도둑 (Label Drift): 아예 처음 보는 도둑 가족도 빠르게 인식합니다.

📊 결론: 실제 성능은 어떨까?

연구진들은 이 시스템을 실제 윈도우 악성코드 데이터로 테스트했습니다.

결과: 기존 시스템보다 5.6% 더 정확하게 변장한 악성코드를 찾아냈습니다.
새로운 악성코드: 새로운 가족을 10 개 정도만 보여줬을 때 85%, 그리고 시스템을 다시 훈련시켰을 때는 **94%**까지 정확도가 올라갔습니다.

💡 한 줄 요약

FARM은 "도둑들이 변장하거나 새로운 도둑이 나타나도, 적은 정보만으로도 빠르게 알아보고, 시간이 지나면 완전히 학습해서 다시 강화하는 똑똑한 보안 시스템"입니다.

이 시스템은 사이버 보안이 끊임없이 변하는 환경에서도 우리가 안전할 수 있도록 도와주는 강력한 도구입니다.

1. 연구 배경 및 문제 정의 (Problem)

개념 드리프트 (Concept Drift) 의 심각성: 멀웨어는 지속적으로 진화하며, 새로운 가족 (Label Drift) 이 등장하거나 기존 가족의 특성이 변형 (Covariate Drift) 됩니다. 정적 (Static) 인 머신러닝 모델은 이러한 시간에 따른 데이터 분포 변화를 반영하지 못해 성능이 급격히 저하됩니다.
기존 접근법의 한계:
- 과신 (Overconfidence): 기존 분류기 (Softmax 기반) 는 보지 못한 샘플에 대해서도 높은 확신을 가지며, 이를 드리프트로 식별하기 어렵습니다.
- 데이터 라벨링 비용: 새로운 멀웨어 가족을 식별하기 위한 라벨링은 비용이 많이 들고 시간이 소요되며, 안티바이러스 벤더의 라벨도 불일치할 수 있습니다.
- 플랫폼 편향: 기존 드리프트 적응 연구는 주로 안드로이드 플랫폼에 집중되어 있었으며, 윈도우 PE(Executable) 멀웨어에 대한 연구는 상대적으로 부족했습니다.
목표: 제한된 라벨 데이터 (Few-shot) 와 실시간 드리프트 감지를 통해 윈도우 PE 멀웨어 가족 분류 모델의 성능을 유지하고 적응하는 통합 프레임워크 개발.

2. 제안된 방법론 (Methodology: FARM)

저자들은 **FARM (Few-shot Adaptive Recognition of Malware)**이라는 통합 프레임워크를 제안했습니다. 이는 학습, 드리프트 감지, 적응의 세 단계로 구성됩니다.

A. 핵심 구성 요소

트리플트 오토인코더 (Triplet Autoencoder):
- 고차원 EMBER 특징을 저차원 잠재 공간 (Latent Space) 으로 매핑합니다.
- 손실 함수: 분류를 위한 **트리플트 손실 (Triplet Loss)**과 입력 재구성을 위한 MSE 손실을 결합합니다. 이를 통해 같은 가족은 가깝게, 다른 가족은 멀리 배치되는 판별력 있는 임베딩을 학습합니다.
드리프트 감지 (Drift Detection):
- DBSCAN 클러스터링: 잠재 공간에서 알려진 가족들을 클러스터링합니다. K-means 와 달리 클러스터 수를 미리 지정할 필요가 없으며, 노이즈와 밀집된 영역을 구분합니다.
- 동적 임계값 (Dynamic Thresholding): 각 클러스터의 중심 (Centroid) 과 클러스터 내 샘플 간의 최대 거리를 기반으로 임계값을 설정합니다. 새로운 샘플이 이 임계값을 벗어나면 '드리프트된 샘플'로 간주하여 기존 클래스에 강제로 할당하지 않고 버퍼에 저장합니다.
적응 메커니즘 (Drift Adaptation):
- Few-shot 적응 (단기 대응): 버퍼에 드리프트된 샘플이 모이면 (최소 10 개), DBSCAN 을 통해 새로운 클러스터를 발견하고 그 중심을 **프로토타입 (Prototype)**으로 생성합니다. 이를 통해 라벨링된 샘플이 극히 적어도 새로운 가족을 즉시 인식할 수 있습니다.
- 전체 재학습 (장기 통합): 특정 가족에 대한 충분한 샘플 (예: 100 개 이상) 이 축적되면, 원본 데이터와 새로운 데이터를 합쳐 모델을 **전체 재학습 (Full Retraining)**합니다. 이를 통해 프로토타입을 영구적인 클러스터 중심 (Centroid) 으로 통합하고 모델의 표현력을 강화합니다.

3. 주요 기여 (Key Contributions)

통합 프레임워크 제안: 윈도우 PE 멀웨어의 개념 드리프트 (공변량 드리프트 및 레이블 드리프트) 를 감지하고 적응하는 최초의 통합 프레임워크인 FARM 을 제안했습니다.
메트릭 학습과 Few-shot 학습의 결합: 트리플트 오토인코더 기반의 잠재 공간과 DBSCAN 클러스터링을 활용하여 드리프트를 감지하고, 소량의 라벨 데이터만으로 새로운 가족을 인식하는 Few-shot 적응 메커니즘을 도입했습니다.
실시간 및 장기적 대응 전략: 즉각적인 프로토타입 기반 분류와 충분한 데이터 축적 후의 재학습을 결합하여, 신속한 대응과 모델의 안정성을 동시에 확보했습니다.
BenchMFC 데이터셋 평가: 타임스탬프가 포함된 BenchMFC 데이터셋을 사용하여 시계열적 진화 환경에서 프레임워크의 유효성을 검증했습니다.

4. 실험 결과 (Results)

실험은 BenchMFC 데이터셋 (2012~2022 년, 526 개 가족 중 16 개 가족 선택) 을 기반으로 수행되었습니다.

드리프트 감지 성능:
- 레이블 드리프트 (새로운 가족): 기존에 보지 못한 8 개 가족 중 **84%**를 드리프트로 정확히 감지했습니다. (단, vobfus 가족은 학습 데이터의 fareit, zbot 과 행동이 유사하여 감지율이 낮았으나, 이는 특징 공간의 중첩 문제임을 분석했습니다.)
- 공변량 드리프트 (진화된 가족): 알려진 가족의 변형된 샘플에 대해 모델이 드리프트를 감지하더라도 올바른 가족으로 분류하는 능력을 유지했습니다.
Few-shot 적응 성능:
- 새로운 가족을 소량의 라벨 데이터 (Few-shot) 로 적응시켰을 때, 평균 F1 점수 0.85를 달성했습니다.
- 재학습 (Retraining) 을 거친 후에는 F1 점수가 0.94까지 향상되었습니다.
기타 모델과의 비교:
- 기존 CADE (Contrastive Loss 기반) 및 Percentile 임계값 기반 모델보다 정밀도 (Precision) 와 재현율 (Recall) 의 균형이 더 뛰어났습니다.
- 공변량 드리프트 상황에서 적응을 적용했을 때 F1 점수가 평균 5.6% 향상되었습니다.

5. 의의 및 결론 (Significance)

실용적 적용 가능성: 멀웨어 분석가나 보안 시스템이 새로운 위협에 대해 대량의 라벨 데이터를 수집할 필요 없이, 소량의 샘플만으로 모델을 신속하게 업데이트할 수 있는 길을 제시했습니다.
동적 환경 대응: 멀웨어가 끊임없이 진화하는 현실적인 환경에서 모델의 성능 저하 (Aging) 를 방지하고 지속적인 감지 능력을 유지하는 효과적인 전략을 입증했습니다.
향후 과제:
- 패킹 (Packing) 된 멀웨어 대응: 현재는 언패킹된 샘플에 국한되어 있으며, 향후 오프스큐레이션 (Obfuscation) 이 포함된 패킹된 멀웨어로 확장 필요.
- 클러스터링 파라미터 최적화: DBSCAN 의 $\epsilon$ 및 minPts 파라미터를 더 적응적으로 조정하는 연구 필요.
- 해석 가능성: 드리프트가 감지된 구체적인 원인 (어떤 특징이 변화했는지) 을 해석할 수 있는 기능 강화.

결론적으로, FARM 은 제한된 감독 하에서도 개념 드리프트에 민감하게 반응하고 적응할 수 있는 강력한 멀웨어 가족 분류 프레임워크로서, 동적인 사이버 보안 환경에서 모델의 수명과 신뢰성을 높이는 데 기여합니다.