CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift

Probleemstelling

Android-malware-detectiesystemen lijden onder zware prestatiedegradatie na verloop van tijd als gevolg van concept drift. Dit fenomeen treedt op omdat zowel kwaadaardige als goedaardige app-gedragingen continu evolueren, wat leidt tot verschuivingen in de statistische eigenschappen van de data. Bestaande methoden, zoals die gebruikmaken van actieve learning (AL) en hiërarchische contrastive loss (bijv. Chen-AL), hebben drie grote beperkingen:

1. Ze zijn volledig supervised, wat betekent dat ze afhankelijk zijn van een continue stroom van gelabelde data.
2. Ze zijn rekenkundig duur en inefficiënt.
3. Ze zijn ondoeltreffend op lange termijn in realistische benchmarks.

Het labelen van data is niet schaalbaar: er verschijnen maandelijks bijna 300.000 nieuwe Android-malware-stalen, terwijl menselijke analisten slechts ongeveer 80 stalen per dag kunnen beoordelen. Hierdoor blijft het merendeel van de data ongelabeld en onderbenut. Bestaande semi-supervised methoden (SSL) falen vaak omdat ze uitgaan van continue en semantisch betekenisvolle invoertransformaties (zoals in computer vision), die niet direct toepasbaar zijn op hoogdimensionale, binaire malware-features.

Methodologie: Het CITADEL Framework

CITADEL is een semi-supervised actieve learning (SSAL) framework dat is ontworpen om aan te passen aan concept drift met beperkte labelingsbudgetten. Het framework combineert drie kerncomponenten:

1. Domeinspecifieke Feature Augmentaties

Om de kloof tussen computer vision-SSL (zoals FixMatch) en malware-detectie te overbruggen, introduceert CITADEL twee specifieke augmentatiestrategieën voor binaire feature-vectoren:

• Bernoulli Bit Flip: Simuleert gedragsveranderingen waarbij malware bepaalde functionaliteiten start of stopt. Een willekeurige subset van binaire features (0 of 1) wordt omgekeerd met een bepaalde waarschijnlijkheid ($p$).
• Bernoulli Feature Masking: Modelleert het verdwijnen van waarneembare patronen (bijv. verouderde API-calls) door een willekeurige subset van features te deactiveren (op 0 te zetten).
  Deze augmentaties injecteren gecontroleerde ruis in de feature-ruimte, wat het model regulariseert tegen onvoorspelbare verdelingsverschuivingen zonder de semantiek van de klasse te verstoren.

2. Verbeterde Doelfunctie met Contrastive Loss

CITADEL past het FixMatch-framework aan door een supervised contrastive loss ($L_{con}$) toe te voegen aan de standaard semi-supervised loss.

• Doel: Het vergroten van de scheiding tussen klassen in de latente ruimte, vooral voor samples die dicht bij de beslissingsgrens liggen (boundary samples).
• Werking: Het trekt feature-representaties van dezelfde klasse naar elkaar toe en duwt die van verschillende klassen uit elkaar. Dit helpt bij het onderscheiden van ambiguë samples die door drift zijn ontstaan.

3. Multi-Criteria Actieve Learning Strategie

In plaats van te vertrouwen op één onzekerheidsmetriek, selecteert CITADEL de meest informatieve samples voor labeling op basis van drie complementaire criteria:

1. Softmax Margin: Samples met een kleine kansverschil tussen de hoogste en tweede hoogste voorspelling (dicht bij de beslissingsgrens).
2. $L_p$-Norm Afstand: Samples die ver weg liggen van de dichtstbijzijnde gelabelde buren in de ingebouwde feature-ruimte (indicatie van distributional deviation of outliers).
3. Laag Vertrouwen: Samples met een lage voorspelde waarschijnlijkheid voor de voornaamste klasse.
   Deze criteria worden genormaliseerd en gecombineerd tot een enkele "uncertainty score" om de top-$k$ samples te selecteren voor menselijke annotatie.

Kernbijdragen

• CITADEL Framework: Een nieuw SSAL-framework specifiek ontworpen voor Android-malware onder langdurige concept drift.
• Nieuwe Augmentaties: Introductie van Bernoulli bit flip en feature masking, die effectief zijn voor gestructureerde binaire malware-features.
• Geavanceerde Loss-functie: Integratie van supervised contrastive loss om de scheiding van klassen in de latente ruimte te verbeteren.
• Multi-Criteria Selectie: Een nieuwe strategie voor actieve learning die margin, afstand en vertrouwen combineert voor robuustere adaptatie.
• Nieuwe Dataset: Constructie van een MaMaDroid-gebaseerde dataset die 12 jaar beslaat, vergelijkbaar met de LAMDA-dataset, om langdurige drift te evalueren.

Resultaten

CITADEL is geëvalueerd op vier grote Android-malware benchmarks: APIGraph, Chen-AZ, MaMaDroid en LAMDA. De resultaten tonen aan dat CITADEL significant beter presteert dan state-of-the-art methoden (zoals Chen-AL, MORSE, CADE) met slechts 40% gelabelde data:

• Prestatieverbetering (F1-score):

  • +1,1% op APIGraph (tot 93,5%).
  • +4,3% op Chen-AZ (tot 82,7%).
  • +8,9% op MaMaDroid (tot 44,9%).
  • +14,0% op LAMDA (tot 77,7%).
  • Opmerking: Op de LAMDA-dataset, die de zwaarste drift vertoont, presteerden bestaande methoden vaak slecht (bijv. Chen-AL zakte naar ~43% F1), terwijl CITADEL stabiel bleef.

• Efficiëntie:

  • CITADEL is 24x sneller in trainingstijd dan bestaande methoden.
  • Het vereist 13x minder rekenoperaties.
  • Dit maakt het framework zeer geschikt voor real-time adaptatie in productieomgevingen.

• Ablatie-studie: De studie bevestigt dat elke component (augmentaties, multi-criteria selectie en contrastive loss) bijdraagt aan de totale prestatieverbetering. Zonder augmentaties of met alleen willekeurige selectie daalt de prestatie aanzienlijk.

Betekenis en Conclusie

CITADEL biedt een praktische en schaalbare oplossing voor het probleem van malware-detectie in een dynamische omgeving. Door de afhankelijkheid van grote hoeveelheden gelabelde data te verminderen en tegelijkertijd de rekenkosten te verlagen, maakt het framework lange-termijn adaptatie mogelijk zonder dat menselijke analisten overbelast raken.

De belangrijkste implicatie is dat semi-supervised learning, wanneer gecombineerd met domeinspecifieke augmentaties en slimme sample-selectie, superieur is aan traditionele supervised benaderingen voor het omgaan met concept drift. CITADEL stelt beveiligingsbedrijven in staat om sneller te reageren op nieuwe malware-varianten met minder resources, wat essentieel is in het huidige ecosysteem van duizenden nieuwe bedreigingen per dag.