파일 기반 랜섬웨어 탐지기 Minerva

Core Concepts

Minerva는 파일 수준의 행동 프로파일링과 대조적 설계를 통해 기존 랜섬웨어 탐지 기법의 한계를 극복하고 다양한 유형의 랜섬웨어를 효과적으로 탐지할 수 있는 새로운 접근법을 제시한다.

Abstract

이 논문은 Minerva라는 새로운 랜섬웨어 탐지 기법을 소개한다. Minerva는 기존 프로세스 기반 탐지 기법의 한계를 극복하기 위해 파일 수준의 행동 프로파일링을 활용한다. 파일 수준에서 관찰되는 다양한 특징들을 통해 랜섬웨어 활동을 탐지하며, 이러한 특징들 간의 상호 의존성을 활용하여 적응형 랜섬웨어에 대한 강건성을 확보한다.

Minerva는 크게 두 가지 모듈로 구성된다. 디스크 활동 모니터 모듈은 시스템 전반의 파일 시스템 작업을 실시간으로 모니터링하고 관찰된 작업을 특징 벡터로 변환한다. 파일 기반 행동 탐지기 모듈은 이러한 특징 벡터를 입력으로 하는 다중 계층 신경망 분류기를 통해 파일 단위로 랜섬웨어 활동을 탐지한다.

Minerva의 성능 평가 결과, 기존 랜섬웨어와 다중 프로세스 기반 회피 랜섬웨어에 대해 각각 99.25%와 99.98%의 탐지율을 달성했다. 또한 알려지지 않은 랜섬웨어 변종에 대해서도 98.35%의 탐지율을 보였다. 특히 Minerva는 적응형 랜섬웨어에 대해서도 강건한 성능을 보였는데, 이는 Minerva의 대조적 설계 덕분이다. 실험 결과, Minerva는 평균 0.52초 내에 랜섬웨어 활동을 탐지할 수 있어 데이터 손실을 최소화할 수 있다.

Stats

랜섬웨어 프로세스와 정상 프로세스의 읽기/쓰기 엔트로피 비율 분포가 뚜렷하게 구분된다.
랜섬웨어 프로세스는 정상 프로세스에 비해 파일에 대한 작업 횟수가 월등히 많다.
랜섬웨어 프로세스는 정상 프로세스에 비해 파일에 대한 읽기/쓰기 비율이 크게 다르다.
랜섬웨어 프로세스는 정상 프로세스에 비해 파일에 접근하는 프로세스 수가 많다.

Quotes

"Minerva는 파일 수준의 행동 프로파일링과 대조적 설계를 통해 기존 랜섬웨어 탐지 기법의 한계를 극복하고 다양한 유형의 랜섬웨어를 효과적으로 탐지할 수 있다."
"Minerva는 평균 0.52초 내에 랜섬웨어 활동을 탐지할 수 있어 데이터 손실을 최소화할 수 있다."

Key Insights Distilled From

Minerva: A File-Based Ransomware Detector

by Dorjan Hitaj... at arxiv.org 04-17-2024

https://arxiv.org/pdf/2301.11050.pdf

Deeper Inquiries

파일 수준의 행동 프로파일링이 프로세스 수준의 접근보다 어떤 장점이 있는지 자세히 설명해 주세요.

파일 수준의 행동 프로파일링은 랜섬웨어 탐지에 있어서 프로세스 수준의 접근보다 몇 가지 중요한 장점을 가지고 있습니다.
첫째로, 파일 수준의 접근은 랜섬웨어의 최종 목표인 파일 암호화에 집중합니다. 랜섬웨어는 주로 사용자 파일을 암호화하는 것이 목적이기 때문에 파일 수준의 행동 프로파일링은 랜섬웨어 활동을 명확하게 드러내줍니다. 이는 랜섬웨어 프로세스의 행동을 감지하는 것보다 더 직접적이고 효과적인 방법입니다.
둘째로, 파일 수준의 접근은 파일의 행동 특성을 모니터링하고 분석함으로써 랜섬웨어 활동을 식별합니다. 이는 랜섬웨어 프로세스가 파일에 가하는 작업을 기반으로 하기 때문에 랜섬웨어의 활동을 더 명확하게 보여줍니다. 또한, 파일 수준의 행동 프로파일링은 랜섬웨어가 여러 프로세스를 사용하여 작업을 분산시키는 등의 회피 기술에도 강건하게 대응할 수 있습니다.
이러한 이유로 파일 수준의 행동 프로파일링은 랜섬웨어 탐지에 있어서 더 효과적이고 강력한 방법으로 인정받고 있습니다.

Minerva의 대조적 설계 방식이 어떻게 적응형 랜섬웨어에 대한 강건성을 제공하는지 구체적으로 설명해 주세요.

Minerva의 대조적 설계 방식은 랜섬웨어에 대한 강건성을 제공하는 데 중요한 역할을 합니다. 이 방식은 한 가지 특성을 변경하면 다른 특성에도 영향을 미치도록 설계되어 있어 랜섬웨어의 회피 시도를 어렵게 만듭니다.
예를 들어, Minerva는 파일의 평균 작업 엔트로피를 사용하여 데이터 읽기와 쓰기의 분포 불일치를 식별합니다. 랜섬웨어가 이 특성을 회피하기 위해 작업 엔트로피를 조작하려고 할 때, 추가적인 낮은 엔트로피 작업을 실행하여 평균 엔트로피를 줄이는 것이 필요합니다. 그러나 이러한 추가 작업은 다른 특성인 작업 수를 증가시키게 되어 회피를 어렵게 만듭니다. 이와 같이 Minerva의 대조적 설계는 랜섬웨어가 특정 특성을 조작하여 회피하는 것을 방지하고, 탐지를 보다 효과적으로 만듭니다.
이러한 방식으로 Minerva는 적응형 랜섬웨어에 대한 강건한 방어 기능을 제공하며, 랜섬웨어의 다양한 변형에도 효과적으로 대응할 수 있습니다.

Minerva의 탐지 성능 향상을 위해 어떤 추가적인 기술적 개선이 가능할지 고민해 보세요.

Minerva의 탐지 성능을 더 향상시키기 위해 몇 가지 추가적인 기술적 개선이 가능합니다.
첫째로, Minerva의 특성 추출 및 분석 방법을 더욱 정교하게 개선할 수 있습니다. 더 많은 특성을 고려하고, 더 정확한 특성 추출 알고리즘을 도입하여 랜섬웨어 활동을 더욱 정확하게 식별할 수 있습니다.
둘째로, Minerva의 머신 러닝 모델을 더욱 최적화하여 성능을 향상시킬 수 있습니다. 더 많은 데이터를 사용하여 모델을 훈련시키고, 하이퍼파라미터 튜닝을 통해 모델의 정확도와 일반화 능력을 향상시킬 수 있습니다.
셋째로, Minerva의 대조적 설계를 더욱 강화하여 랜섬웨어의 회피 시도를 더욱 효과적으로 방지할 수 있습니다. 다양한 회피 기술에 대한 대응 전략을 개발하고, 랜섬웨어의 다양한 변형에 대응할 수 있는 유연성을 갖추는 것이 중요합니다.
이러한 기술적 개선을 통해 Minerva의 랜섬웨어 탐지 성능을 더욱 향상시킬 수 있을 것으로 기대됩니다.