悪性サイト検知のためのWebAssemblyデータセット構築ツールの設計とその精度評価

• Item type: SIG Technical Reports(1)
• 公開日: 2023-05-04
• タイトル: 悪性サイト検知のためのWebAssemblyデータセット構築ツールの設計とその精度評価
• タイトル / 言語: en
• タイトル: A Study on WebAssembly Dataset for Malicious Site Detection
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: CSEC
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 大阪大学
• 著者所属: 大阪大学
• 著者所属: 大阪大学
• 著者所属: 奈良工業高等専門学校
• 著者所属(英): en
• 著者所属(英): Osaka University
• 著者所属(英): en
• 著者所属(英): Osaka University
• 著者所属(英): en
• 著者所属(英): Osaka University
• 著者所属(英): en
• 著者所属(英): National Institute of Technology, Nara College
• 著者名: 小宮, 千佳; 矢内, 直人; 山下, 恭佑; 岡村, 真吾
• 著者名(英): Chika, Komiya; Naoto, Yanai; Kyosuke, Yamashita; Shingo, Okamura
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 悪性ウェブサイトの検知は機械学習が利用されるが，WebAssembly のコードを特徴量として用いる手法は，コードのサンプル数が少ないことからこれまで検討されてこなかった．本稿では，WebAssembly に着目して悪性サイト検知を検討する．まず WebAssembly データセットを JavaScript を通じて疑似的に構築するツール JABBERWOCK を設計する．大まかには，JABBERWOCK は JavaScript の収集から WebAssembly への変換を含めた一連の処理を自動的に行い，最終的に悪性サイトの特徴量として WebAssembly をベクトル化したものを出力する．まず JABBERWOCK の性能評価としてデータセット構築に関する処理時間を計測したところ，1 個のサンプル当たり平均 4.5 秒で，任意のサンプル数に関してデータセットを構築できることを確認した．次に，JABBERWOCK で生成したデータセットを用いて，実際に悪性サイトが検知できるかを確認した．良性と悪性サイトをそれぞれ 1783 件収集して実験したところ，F1 値 99% で悪性サイトが検知できることを確認した．その結果を分析したところ，JABBERWOCK を通じて，元の JavaScript のコードよりも，良性サイトと悪性サイトの分布の乖離を大きくすることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Machine learning is used for malicious site detection, but an approach incorporating WebAssembly as a feature has not been explored due to a limited number of samples, to the best of our knowledge. In this paper, we discuss malicious site detection based on WebAssembly. We first design JABBERWOCK, a tool to construct WebAssembly datasets in a pseudo fashion via JavaScript. JABBERWOCK automatically gathers JavaScript code in the real world, convert them into WebAssembly, and then outputs vectors of the WebAssembly as samples for malicious site detection. Regarding the processing time, we show that JABBERWOCK can construct a dataset in 4.5 seconds per sample for any number of samples. Next, we show that malicious sites can accurately be detected using the dataset generated by JABBERWOCK. Through experiments by collecting 1783 benign and malicious sites, we confirmed that malicious sites could be detected with 99% F1-score. We also demonstrate that the gap in distributions between benign and malicious samples generated by JABBERWOCK becomes larger than those of the original JavaScript codes.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2023-CSEC-101, 号 29, p. 1-8, 発行日 2023-05-04
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会