K-평균 클러스터링 기반 안드로이드 악성 앱 탐지 기법의 지속가능성 개선 (Enhancing Sustainability of an Android Malware Detection Technique using K-means Clustering)

서지정보

· 발행기관 : 한국소프트웨어감정평가학회
· 수록지 정보 : 한국소프트웨어감정평가학회 논문지 / 20권 / 3호 / 21 ~ 32페이지
· 저자명 : 정성원, 안석현, 조성제, 김동재, 황영섭

초록

전통적인 기계학습 기반 안드로이드 악성 앱 탐지 기법은 개념 드리프트(concept drift)로 인해 새로운 유형의 악성 앱들을 탐지하는데 한계가 있다. 즉, 전통적인 기계학습 기반의 악성 앱 탐지 기법은 지속 가능하지 않을 수 있다. 개념 드리프트는 시간이 지남에 따라 악성 앱 특징의 진화와 이로 인한 기계학습 기반 탐지 모델의 성능 저하를 말한다. 본 논문에서는 API 호출 정보 및 기계학습을 사용하여 안드로이드 악성 앱을탐지하는 방법의 지속가능성을 개선하는 기법을 제안한다. 제안 기법에서는, 먼저 K-평균 클러스터링으로 앱들을 그룹화한 후, 각 그룹별로 악성 앱을 탐지하는 분류모델을 개발한다. K-평균 클러스터링 과정에서는 최적의 k 값을 찾는 엘보우 방법(elbow method), 그리고 클러스터별 분류기에 임계값 지정과 초매개변수의 최적화 과정을 적용한다. 분류모델로는 랜덤 포레스트, K-최근접 이웃, AdaBoost를 사용한다. 실험 결과, 랜덤포레스트 분류기가 가장 높은 성능을 보였는데, 마이크로-평균 방식으로 산출된 F1 점수와 AUT 수치가 기존의 전통적인 랜덤 포레스트 모델보다 각각 20.1%p, 20.4%p 개선되었다.

영어초록

Traditional machine learning-based Android malicious app(malware) detection techniques have limitations in detecting new types of malware due to concept drift. In other words, traditional machine learning-based malware detection techniques may not be sustainable. Concept drift refers to the evolving nature of malware features over time and the resulting degradation in the performance of machine learning-based detection models In this paper, we propose a technique to improve the sustainability of the method for detecting Android malware using API call information and machine learning. In the proposed technique, apps are first grouped using K-means clustering, and then classification models are applied to detect malicious apps for each group.
In the K-means clustering, the elbow method is used to find the optimal k value, and thresholding and hyperparameter optimization processes are applied to the classifiers for each cluster. The classifiers include random forest, K-nearest neighbor, and AdaBoost. The experimental results show that the random forest classifier showed the highest performance, with the F1 score and AUT value calculated by the micro-means method being improved by 20.1%p and 20.4%p, respectively, compared to the traditional random forest model.

참고자료

· 없음