単語ベースの機械学習モデルによる未知の悪性PowerShellスクリプトの検知手法

• Item type: Journal(1)
• 公開日: 2021-05-15
• タイトル: 単語ベースの機械学習モデルによる未知の悪性PowerShellスクリプトの検知手法
• タイトル / 言語: en
• タイトル: Using a Word-based Machine Learning Model to Detect Unknown Malicious PowerShell Script
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: [一般論文（推薦論文）] PowerShell，潜在意味インデックス，Doc2Vec，XGBoost
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_6501
• 資源タイプ: journal article
• ID登録: 10.20729/00211105
• ID登録 / ID登録タイプ: JaLC
• 著者所属: 防衛大学校情報工学科
• 著者所属: 防衛大学校情報工学科
• 著者所属(英): en
• 著者所属(英): Department of Computer Science, National Defense Academy of Japan
• 著者所属(英): en
• 著者所属(英): Department of Computer Science, National Defense Academy of Japan
• 著者名: 田尻, 裕貴; 三村, 守
• 著者名(英): Yui, Tajiri; Mamoru, Mimura
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: サイバー攻撃において，攻撃対象の端末にインストールされている正規のツールを利用する傾向が強まっている．特に攻撃ツールとして，Microsoft社が提供するPowerShellを悪用するケースが年々増加しており脅威となっている．先行研究では，文字ベースのディープラーニングを用いた悪性PowerShellコマンドを検知する手法が提案された．提案された手法は，伝統的な自然言語処理および文字ベースでの畳み込みニューラルネットワークを組み合わせた手法である．しかしながらこの手法では，前処理に動的解析を用いており，解析に時間を要する．そこで本研究では，動的解析を用いずに，単語ベースの言語モデルによって悪性および良性のサンプルから特徴ベクトルを作成し，未知のサンプルを分類する手法を提案する．データセットは，HybridAnalysis，AnyRunおよびgithubから入手した良性および悪性のサンプルから作成した．検証実験では，未知のサンプルに対する最大recall値は0.98となった．また，新種のマルウェアファミリを検知できることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: There is a growing tendency for cybercriminals to abuse legitimate tools installed on the target computers for cyberattacks. In particular, the use of PowerShell provided by Microsoft has been increasing every year and has become a threat. In previous studies, a method to detect malicious PowerShell commands using character-based deep learning was proposed. The proposed method combines traditional natural language processing and character-based convolutional neural network. This method, however, requires dynamic analysis for preprocessing, and thereby requires time. This paper proposes a method to classify unknown PowerShell without dynamic analysis. Our method uses feature vectors extracted from malicious and benign PowerShell scripts using a word-based language model for classification. Our dataset was generated from benign and malicious PowerShell scripts obtained from HybridAnalysis, VirusTotal, and github. Our experiment shows that the maximum recall achieves 0.98 against unknown samples. Furthermore, we confirmed that new malware families could be detected.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN00116647
• 書誌情報: 情報処理学会論文誌; 巻 62, 号 5, p. 1317-1327, 発行日 2021-05-15
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 1882-7764