Leveraging Interpretable Tsetlin Machine for PDF Malware Detection

Technische Samenvatting: Inzet van een Interpreteerbare Tsetlin Machine voor PDF-Malware Detectie

Probleemstelling
Het Portable Document Format (PDF) is een dominante standaard voor digitale documentuitwisseling vanwege de platformonafhankelijkheid en uitgebreide functionaliteit. Deze capaciteiten, waaronder ingebedde objecten, JavaScript en interactieve acties, hebben de PDF echter tot een primaire aanvalsvector voor cyberaanvallen gemaakt. Kwaadwillende actoren misbruiken deze functies om payloads te leveren voor diefstal van inloggegevens, installatie van spyware en systeemcompromis. Traditionele detectiemethoden worden geconfronteerd met aanzienlijke uitdagingen: op handtekeningen gebaseerde benaderingen falen tegen zero-day dreigingen, terwijl anomaliegebaseerde en standaard machine learning (ML) classificatiesatoren vaak opereren als "black boxes" die een intrinsieke interpreteerbaarheid missen. Hoewel post-hoc verklaarbaarheidsinstrumenten (bijv. SHAP, LIME) bestaan, bieden zij benaderde verklaringen in plaats van de onderliggende beslissingslogica te onthullen. Bovendien vereist de snelle evolutie van aanvalstechnieken detectiesystemen die niet alleen accuraat, maar ook computationeel efficiënt en transparant zijn.

Methodologie
Het artikel stelt een nieuw framework voor dat gebruikmaakt van de Tsetlin Machine (TM), een interpreteerbaar, regelgebaseerd ML-model dat menselijk leesbare logische clausules leert. De methodologie verloopt via de volgende fasen:

1. Statische Feature Extractie: Het framework extraheert 42 relevante features direct uit PDF-bestanden zonder uitvoering. Deze features omvatten structurele elementen (bijv. xref, trailer, stream), metadata-eigenschappen (bijv. pdfsize, metadata size) en inhoudsindicatoren (bijv. JS, JavaScript, OpenAction, isEncrypted).
2. Data Preprocessing: De ruwe data ondergaat opschoning, inclusief het verwijderen van duplicaten en het afhandelen van klassenonbalans via random undersampling. Features worden genormaliseerd met behulp van min-max schaling en vervolgens gebinariseerd met KBinsDiscretizer om ze om te zetten in binaire inputs die geschikt zijn voor propositionele logica-leren.
3. Tsetlin Machine Training: Het TM-model leert een collectie conjunctieve clausules. Elke clausule bestaat uit een conjunctie van geselecteerde literalen (features) en hun negaties. Het model aggregeert stemmen van deze clausules, gewogen door polariteit (+1 of -1), om een document als ofwel onschadelijk (benign) of kwaadaardig (malicious) te classificeren. De training maakt gebruik van k-fold cross-validatie om robuustheid te garanderen.
4. Interpreteerbaarheidsmechanisme: In tegenstelling tot black-box modellen biedt de TM intrinsieke interpreteerbaarheid. Classificatiebeslissingen worden verklaard door:
   • Clause Activation Heatmaps: Het visualiseren van welke logische regels werden geactiveerd voor een specifief sample.
   • Class-Vote Analyse: Het kwantificeren van de bewijslast (stemmen) die een specifieke klasse ondersteunt.
   • Feature-Level Bijdrage: Het identificeren van welke specifieke features de beslissing hebben gedreven, waarbij onderscheid wordt gemaakt tussen features die een classificatie ondersteunen of onderdrukken.

Belangrijkste Bijdragen

• Framework Design: De ontwikkeling van een effectief TM-gebaseerd framework dat specifiek is afgestemd op PDF-malware detectie met behulp van de RIT-PDFMal-2026 dataset.
• Performance Benchmarking: Een uitgebreide numerieke evaluatie waarbij het voorgestelde TM wordt vergeleken met zeven conventionele ML-classificatoren (Decision Tree, Random Forest, KNN, Naive Bayes, Logistic Regression, XGBoost en LightGBM).
• Interpreteerbaarheidsanalyse: Een gedetailleerde demonstratie van het beslissingsproces van het model via geleerde clausules en feature-bijdragen, wat transparante inzichten biedt in hoe onschadelijke en kwaadaardige documenten van elkaar worden onderscheiden.

Experimentele Resultaten
Het framework werd geëvalueerd op de RIT-PDFMal-2026 dataset, die 24.337 samples (13.235 onschadelijk en 11.102 kwaadaardig) bevat over 42 features. Na preprocessing (verwijderen van duplicaten en balanceren van de trainingsset), waren de resultaten als volgt:

• Accuracy: Het voorgestelde TM bereikte een nauwkeurigheid van 98,02%. Deze prestatie is concurrerend met, en in sommige metrieken vergelijkbaar met, state-of-the-art ensemble methoden zoals Random Forest (98,28%), XGBoost (97,37%) en LightGBM (97,30%).
• Precision, Recall en F1-Score: De TM behaalde een macro-gemiddelde precisie van 96,03%, recall van 95,95% en een F1-score van 95,99%, wat een gebalanceerde prestatie over beide klassen aantoont.
• Efficiëntie: Wat betreft de inferentietijd had de TM 2,853 µs per sample nodig. Dit is aanzienlijk sneller dan Random Forest (3,901 µs) en LightGBM (15,274 µs), hoewel iets langzamer dan Decision Trees en Logistic Regression.
• Interpreteerbaarheids Casestudies: Het artikel illustreert dat het model samples correct classificeert door stemmen te aggregeren van geactiveerde clausules. Bijvoorbeeld, in een correct geclassificeerd onschadelijk sample ontving de onschadelijke klasse een stemscore van 10, gedreven door features zoals isEncrypted en Encrypt. Omgekeerd werden misclassificaties geanalyseerd, waarbij werd vastgesteld dat overlappende feature-karakteristieken tussen onschadelijke en kwaadaardige samples incidenteel kunnen leiden tot foutieve stemaggregatie.

Significantie en Claims
Het artikel claimt dat het voorgestelde framework een praktische oplossing biedt voor PDF-malware detectie door succesvol drie kritieke factoren te balanceren: concurrerende detectieprestaties, computationele efficiëntie en intrinsieke interpreteerbaarheid.

De auteurs benadrukken dat, in tegen tegenstelling tot conventionele ML-classificatoren die post-hoc verklarende instrumenten vereisen, de TM inherent transparante, menselijk leesbare logica biedt. Deze transparantie vergroot het vertrouwen in het detectiesysteem, een cruciale vereiste in cybersecurity waar het begrijpen van waarom een bestand wordt gemarkeerd even belangrijk is als de markering zelf. De studie concludeert dat hoewel het huidige werk beperkt is tot een enkele publieke dataset en representatieve casestudies, het TM-framework een veelbelovende richting vormt voor toekomstig onderzoek naar uitlegbare AI in cybersecurity. Toekomstig werk wordt voorgesteld om de interpreteerbaarheid te valideren via gebruikersstudies en om de evaluatie uit te breiden naar diverse malware-families.