기술 요약: 연속적 멀웨어 섭취 파이프라인의 회색 상자 중독

문제 진술

현대 멀웨어 탐지 시스템은 고밀도의 새로운 위협 (일일 약 560,000 개 샘플로 추정) 에 대응하기 위해 모델의 연속적인 섭취, 특징 추출, 재학습을 자동화하는 머신러닝 운영 (MLOps) 파이프라인에 점점 더 의존하고 있습니다. 회피 공격은 추론 시점에 모델을 표적으로 하지만, 본 논문은 섭취 파이프라인 내에서 발생하는 더 교활한 위협인 데이터 중독을 조사합니다.

중독 시나리오에서 적대자는 훈련 데이터 공급망에 악성 샘플을 주입하여 데이터셋을 효과적으로 "부패"시키고, 향후 버전에서 잘못된 모델 행동을 유도합니다. 추상적 벡터를 조작하는 특징 공간 공격 (역-특징 매핑 문제로 인해 유효한 실행 가능한 대응물이 종종 부재함) 과 달리, 본 연구는 문제 공간 중독에 초점을 맞춥니다. 도전 과제는 악성 기능을 유지하면서 초기 검토를 우회하고 탐지 모델의 성능을 저하시키기 위해 특징을 미묘하게 조작하는 적대적 PE(이식 가능한 실행 파일) 바이너리를 생성하는 데 있습니다.

방법론

위협 모델

저자들은 다음과 같은 회색 상자 위협 모델을 공식화합니다:

• 방어자는 비공개 훈련 세트 ($D_T$), 섭취 소스 ($D_I$), 그리고 탐지 모델 ($M_D$) 을 유지합니다.
• 적대자는 공개 데이터 ($D_{pub}$) 와 방어자의 특징 추출 매핑 ($\phi$) 을 근사하는 프록시 모델 ($M_A$) 에 접근할 수 있습니다.
• 적대자는 프록시 모델을 회피하기 위해 중독된 샘플 ($D_P$) 을 생성하고 이를 섭취 파이프라인에 주입하여 악성 샘플을 정상으로 오표시하는 것을 목표로 합니다.

데이터셋 구성

본 연구는 다음으로 구성된 하이브리드 데이터셋을 활용합니다:

1. 원시 PE 바이너리: VirusShare, MalShare, TheZoo 에서 출처를 얻었으며, 정상 OS 파일과 결합되었습니다.
2. EMBER2024: 대규모 특징 기반 데이터셋.
   저자들은 Trend Micro Locality Sensitive Hash(TLSH) 를 사용하여 데이터를 중복 제거하고, 타임스탬프와 같은 아티팩트를 무력화시키면서 EMBER v3 특징을 추출했습니다. 데이터는 네 개의 세트로 분할되었습니다: 방어자 훈련 (40%), 유입 피드 (20%), 오라클 (20%), 홀드아웃 (20%).

적대적 생성

secml_malware 프레임워크를 사용하여 저자들은 두 가지 주요 조작 전략을 사용하여 문제 공간 적대적 바이너리를 생성했습니다:

1. 가져오기 주소 테이블 (IAT) 주입: 정상 바이너리의 항목을 악성 샘플의 IAT 에 주입합니다.
2. 섹션 주입: PE 구조에 정상 코드 섹션을 주입합니다.

이러한 조작은 특징 공간의 단절로 인해 기반 공격이 회피율을 거의 내지 못했기 때문에, 유전 알고리즘을 통한 **휴리스틱 기반 접근법 (GAMMA 전략)**을 사용하여 수행되었습니다.

방어 메커니즘

제안된 방어는 섭취 전 필터 (오라클) 로 작용하는 동질적 앙상블입니다. 이 미들웨어는 다음으로 훈련된 세 개의 LightGBM 모델로 구성됩니다:

1. 바이트 분포.
2. 콘텐츠 (문자열/라이브러리).
3. 구조적 특징.
   세 모델이 모두 합의를 이루어야만 샘플이 섭취됩니다.

주요 결과

공격 효과성

본 연구는 정상으로 오표시될 때 미묘하고 기능을 보존하는 교란이 모델 성능을 크게 저하시킬 수 있음을 보여줍니다:

• 회피율: 고강도 공격 (IAT 8 개 및 섹션 8 개 주입) 은 적대자의 프록시 모델에 대해 50.8% 의 회피율을 달성했습니다.
• 중독 영향: 훈련 세트에 잘못된 라벨 (악성을 정상으로 라벨링) 로 주입되었을 때, **미묘한 조작 (IAT 2 개 주입)**이 탐지 재현율에서 가장 큰 저하를 초래했습니다 (~0.947 에서 0.860으로 감소), 이는 미미한 교란이 결정 경계에 더 가깝게 위치함을 시사합니다.
• 절충: 고강도 공격은 회피에 효과적이지만 파일 크기를 크게 증가시키고 구조적 오라클에 의해 더 쉽게 탐지됩니다.

방어 성능

동질적 앙상블 필터는 매우 효과적이었습니다:

• 필터링 효율성: 결합된 앙상블은 고강도 중독 시도 (IAT 8 개/섹션 8 개) 의 **95.6%**를 성공적으로 필터링했습니다.
• 유지율: 방어는 정상 (청정) 데이터에 대해 84.5% 의 유지율을 유지했습니다.
• 탐지 특이도: 구조적 모델이 가장 효과적인 개별 구성 요소였으며, 고강도 샘플의 94.2% 를 필터링한 반면, 분포 모델과 콘텐츠 모델은 각각 25.0% 와 18.4% 로 덜 효과적이었습니다.

중요성 및 주장

본 논문은 연속 학습 시스템 내에서 높은 중독 효과성을 유지하는 저가시성 적대적 교란을 개발하는 데 내재된 어려움을 보여준다고 주장합니다. 주요 발견 사항은 다음과 같습니다:

1. 은밀성 vs 효과성: 적대적 은밀성과 중독 효과성 사이에는 중요한 절충 관계가 존재합니다. 미묘한 IAT 기반 교란은 컴팩트하며 재현율 저하에 효과적이지만, 고강도 수정보다 탐지가 어렵습니다.
2. 파이프라인 취약성: 자동화된 섭취 파이프라인은 데이터 공급망 부패에 취약하므로, 견고한 섭취 전 검증이 필요합니다.
3. 방어 타당성: 오라클의 동질적 앙상블을 사용하는 다면적 검증 접근법은 정상 데이터의 섭취를 크게 방해하지 않으면서 중독 시도의 대다수를 성공적으로 식별하고 필터링할 수 있습니다.

저자들은 이것이 축소된 부분집합 (12,500 개 샘플) 과 단일 단계 중독 이벤트를 사용한 예비 평가임을 지적합니다. 향후 연구는 전체 하이브리드 데이터셋으로 확장하고, 완전한 블랙박스 환경에서의 전이성을 조사하며, 여러 연속 구간에서의 지속적 중독을 분석해야 합니다.