트랜스포머 기반 안드로이드 악성코드 분류를 위한 다단계 특성 선택 기법 = A Multi-stage Feature Selection Method for Transformer-based Android Malware Classification|RISS 상세보기

국문 초록 (Abstract)

모바일 운영체제 시장에서 가장 높은 시장 점유율을 유지하고 있는 안드로 이드 운영체제는 군사 부문에서도 활용성이 크게 증대되고 있다. 러시아-우크 라이나 전쟁에서는 전장관리체계 접속용 플랫폼으로 안드로이드 기반의 상용 단말기가 광범위하게 활용되었다. 우리 군도 각종 전투지휘체계 및 지휘통제 체계에 안드로이드 기반 단말기를 활용할 계획이다. 이처럼 안드로이드 기반 플랫폼의 전장환경 적용이 증대되면서 안드로이드 운영체제를 겨냥하는 사이 버위협은 국가안보 수준의 위협으로 부상하고 있으며, 효과적인 사이버보안 대책의 마련이 시급한 상황이다. 안드로이드 운영체제를 공격하는 악성코드를 탐지함에 있어 가장 널리 사용 되는 접근방법은 API Call 정보를 사용하는 것이다. 그러나 API Call 정보는 수천 개에 달하는 고차원 특성으로 구성되어 있어 인공지능 기술을 기반으로 침입탐지를 시도할 경우 과도한 계산 비용과 메모리 자원, 그리고 과적합으로 인한 성능 저하 문제가 발생한다. 이에 본 연구에서는 이러한 고차원 데이터 문제를 해결하면서 모델 경량화와 높은 탐지 성능을 동시에 달성하기 위해 LightGBM과 트랜스포머 모델 고유의 토큰화 메커니즘을 결합하는 '다단계 특성 선택 기법'을 제안한다. 제안하는 접근방법은 다음과 같은 3단계로 구성된다. 첫째, 모든 데이터 샘플에서 값이 동일하여 변별력을 제공하지 못하는 특성들을 분산 임계값 필터링으로 제거한다. 둘째, 1단계에서 정제된 데이터를 LightGBM 모델로 학습시켜 각 특성이 악성코드 분류에 기여하는 정도를 '특성 중요도'를 기준 으로 정량화하고, 중요도에 따라 모든 특성의 우선 순위를 산출한다. 셋째, 도출된 중요도 평가 결과를 기준으로 최종 분류기로 사용될 각 트랜스포머 모델의 제약조건에 맞춰 특성 집합을 동적으로 구성한다. 이 과정은 중요도 가 높은 특성부터 순차적으로 시퀀스를 구성하며, 해당 모델의 토크나이저가 시퀀스를 토큰화했을 때 최대 입력 토큰 한계(512 토큰)를 초과하지 않는 범 위까지의 특성만을 최종적으로 선택한다. CICAndMal2020 데이터세트를 활용한 검증 실험 결과, 원본 특성을 80~95개 (약 1% 수준)로 획기적으로 축소하는 데 성공하였다. 그리고 이렇게 경량화된 특성 집합만으로도 이진분류(정상/악성 분류)에서는 최대 98.28%의 정확도를 달성하였으며, 12개의 클래스로 분류하는 다중분류에서는 Macro F1-Score 기준 83.66%라는 경쟁력 있는 성능을 확보하였다. 이러한 결과는 제안하는 접근법이 훨씬 적은 수의 핵심 특성만으로도 수천 개의 특성을 사용한 기존 연구들과 대등하거나 그 이상의 성능을 달성할 수 있음을 확인시켜 준다. 따라서 본 연구에서 제안된 다단계 특성 선택 기법은 API Call 정보와 같은 고차원 데이터를 대상으로 한 침입탐지에서 탐지 정확 도와 처리 효율을 동시에 만족시킬 수 있는 실용적이고 효과적인 해결책이 될 수 있다. 또한, 향후 전장환경에서의 활용이 증가될 안드로이드 기반 플랫 폼의 사이버보안을 강화하는 기반 기술로도 활용할 수 있을 것으로 기대한다.

번역하기

모바일 운영체제 시장에서 가장 높은 시장 점유율을 유지하고 있는 안드로 이드 운영체제는 군사 부문에서도 활용성이 크게 증대되고 있다. 러시아-우크 라이나 전쟁에서는 전장관리체계 ...

목차 (Table of Contents)