DLMC_Net: Adaptive Self Attention Module and Customized Convolutional Neural Network with Borderline SMOTE for Classification of Malwares using Byte Code Images

기술 요약: 악성코드 분류를 위한 DLMC_Net

문제 정의
정교하고 자동 생성된 악성코드 변종의 급격한 확산은 전통적인 시그니처 기반 탐지 시스템을 점점 더 무력하게 만들었습니다. 머신러닝(ML)과 딥러닝(DL)이 자동화된 탐지를 위해 채택되어 왔으나, 전통적인 ML 방식은 지식 집약적인 수작업 특징 추출(handcrafted features)에 의존하며, 난독화되거나 분석 방해 기법이 적용된 악성코드에 대응하는 데 어려움을 겪습니다. 또한, 기존의 딥러닝 접근 방식은 두 가지 핵심적인 문제에 직면해 있습니다: 바이너리-이미지 변환 과정에서의 정보 손실(절단 또는 패딩으로 인한 의미론적 정보 손실)과, 특정 악성코드 제품군이 다른 제품군보다 압도적으로 많은 Malimg와 같은 벤치마크 데이터셋에서의 심각한 클래스 불균형 문제입니다.

방법론
저자들은 바이트 코드 이미지(BCI)를 사용하여 25개의 악성코드 제품군을 다중 클래스 분류하기 위해 설계된 새로운 딥러닝 프레임워크인 DLMC_Net을 제안합니다. 이 방법론은 세 가지 핵심 구성 요소를 통합합니다:

1. 맞춤형 CNN 백본(Customized CNN Backbone): 모델은 150×150 그레이스케일 BCI 입력을 통해 국소적 공간 특징을 추출하도록 설계된 맞춤형 합성곱 신경망을 사용합니다. 이 백본은 두 개의 컨볼루션 블록으로 구성되며, 각 블록은 컨볼루션 레이어, 배치 정규화(Batch Normalization, 학습을 안정화하고 내부 공변량 변화를 방지), ReLU 활성화 함수, 그리고 맥스 풀링(Max Pooling, 다운샘플링 및 계산 비용 절감)을 포함합니다.
2. 적응형 셀프 어텐션 모듈(Adaptive Self-Attention Module): CNN이 전역적 문맥(global context)을 포착하는 데 한계가 있다는 점을 해결하기 위해, 추출된 공간 특징은 적응형 셀프 어텐션 메커니즘을 통과합니다. 이 모듈은 쿼리(Query, Q), 키(Key, K), 값(Value, V) 행렬을 계산함으로써 서로 다른 공간 영역의 중요성을 동적으로 학습합니다. 이는 관련성에 따라 로컬 특징의 가중치를 계산하여 장거리 의존성을 포착하고, 중복된 정보를 억제하면서 구별력이 있는 악성코드 영역을 강조합니다.
3. 경계선 SMOTE (Borderline SMOTE, BLS)를 통한 클래스 불균형 해결: Malimg 데이터셋의 내재된 클래스 불균형을 인식하여, 저자들은 Borderline SMOTE 기술을 활용합니다. 표준 SMOTE와 달리, BLS는 오분류 가능성이 가장 높은 결정 경계 근처의 소수 클래스를 위해 합성 샘플을 생성하는 데 집중합니다. 이러한 업샘플링 전략은 훈련 데이터의 균형 잡힌 분포를 보장하여 모델이 다수 클래스에 편향되는 것을 방지합니다.

전체 워크플로우는 악성코드 바이너리를 BCI로 변환하고, 크기를 조정하며, 데이터를 정규화하고, 균형을 맞추기 위해 BLS를 적용한 다음, DLMC_Net 아키텍처를 훈련시키는 과정을 포함합니다. 최종 분류는 완전 연결 계층(fully connected layers)과 소프트맥스(Softmax) 활성화 함수를 통해 수행됩니다.

주요 기여
본 논문은 다섯 가지 주요 기여를 명시합니다:

1. 새로운 아키텍처: BCI를 이용한 강력한 다중 클래스 악성코드 분류에 최적화된 맞춤형 CNN 구조 설계.
2. 어텐션 통합: 로컬 패턴과 전역적 의존성을 모두 포착하여 특징 표현을 향상시키기 위해 맞춤형 CNN 내에 적응형 셀프 어텐션 모듈을 삽asi.
3. 모델 단순화: 복잡한 사전 학습된 모델에 비해 총 학습 가능한 파라미터 수를 줄여 아키텍처의 효율성을 높임.
4. 불균형 처리: 소수 클래스의 표현력을 강화하고 분류 견고성을 높이기 위해 Malimg 데이터셋에 Borderline SMOTE 적용.
5. 포괄적 평가: 최첨단(SOTA) 베이스라인 모델들과의 심층적인 비교 분석을 통해 우수한 성능 지표를 입증.

실험 결과
모델은 Malimg 벤치마크 데이터셋(25개 클래스, 9,366개 이미지)에서 평가되었으며, 네 가지 베이스라인 딥러닝 모델인 VGG-16, InceptionResNet-V2, EfficientNet-B2, DenseNet-201과 비교되었습니다.

• BLS 적용 시 성능: 제안된 DLMC_Net은 BLS와 결합되었을 때 다음과 같은 탁월한 성능 지표를 달성했습니다:
  • 정확도(Accuracy): 99.92%
  • 정밀도(Precision): 99.92%
  • 재현율(Recall): 99.92%
  • F1-Score: 99.91%
  • AUC: 99.96%
• 비교: 이러한 결과는 91.42%에서 92.24% 사이의 정확도를 기록한 모든 베이스라인 모델을 크게 상회하는 수치입니다.
• 절제 연구(Ablation Study): 연구를 통해 각 구성 요소의 필요성을 확인했습니다. BLS나 어텐션 모듈이 없는 버전의 모델은 정확도가 82.95%로 떨어졌습니다. BLS를 추가하면 87.23%로 개선되었으며, 어텐션 모듈을 완전히 통합했을 때 최종 99.92%의 정확도에 도달했습니다. 이는 균형 잡힌 데이터와 어텐션 메커니즘 사이의 시너지가 고성능 분류에 결정적임을 입증합니다.

의의 및 주장
저자들은 DLMC_Net이 대규모 악성코드 분류를 위한 매우 효과적이고 신뢰할 수 있는 솔루션을 제공한다고 주장합니다. 본 연구의 의의는 다음과 같은 방식으로 전통적인 시그니처 기반 탐지 및 표준 딥러닝 접근 방식의 한계를 극복했다는 점에 있습니다:

• 악성코드 데이터셋에서 흔히 발생하는 클래스 불균형 문제를 효과적으로 처리함.
• 하이브리드 CNN-Attention 아키텍처를 통해 로컬 구조적 패턴과 전역적 문맥 의존성을 모두 포착함.
• 표준 벤치마크에서 거의 완벽한 분류 정확도(99.92%)를 달성하여, 다양한 악성코드 제품군을 식별하는 데 있어 보안 전문가를 효율적으로 지원할 수 있음을 시사함.

본 논문은 제안된 프레임워크가 실세계 응용 분야를 위한 확장 가능한 접근 방식이라고 결론지으며, 표현력과 계산 효율성을 더욱 향가시키기 위해 양자 머신러닝(QML)을 통합하는 후속 연구를 제안합니다.