深層強化学習と自然言語処理技術を用いた実践的サイバー攻撃・防御技術に関する研究

点击翻译按钮获取中文摘要

Windowsの実行ファイル形式のマルウェアを対象として、自然言語処理技術で特徴を抽出し、教師あり学習モデルで分類する手法の実用的な精度とスケーラビリティを評価した。実環境では無害なファイルが無数に存在するため、十分な良性サンプルをテストデータに含めて精度を評価する必要がある。検証実験では、テストデータの良性サンプル数を増やすと、徐々に精度が低下することを確認した。したがって、十分な良性サンプルを含まないテストデータで精度を評価している既存研究では、実環境で精度が低下する可能性があることが危惧される。この対策として、訓練データに十分な数の良性サンプルを含めた場合、この精度の低下が緩和されることを確認した。また、この精度の低下を定量的に評価するための新たな指標を提案した。この指標は、他の形式のマルウェアの検知や侵入検知のみならず、あらゆる２値分類のタスクに応用することが可能である。スケーラビリティの評価においては、大量の良性サンプルと悪性サンプルの両方の時系列を考慮して精度を評価した。訓練データとテストデータのサイズを増加させた場合、各々の完了時間は概ね線形増加となり、実用的な運用に差し支えないことを確認した。PowerShell形式のマルウェアに関しては、自然言語処理技術で特徴を抽出し、教師あり学習モデルで分類する手法に対し、良性サンプルに頻出する特徴を付与して検知を回避する攻撃の影響を評価した。その結果、単純に頻出する特徴を付与するだけで効果があることを確認した。さらに、自己注意機構を用いた検知手法において、分類に貢献した特徴を分析し、これを用いて検知を回避する攻撃について考察した。JavaScript形式の不正通信に関しては、敵対的生成ネットワークを用いてオーバーサンプリングする手法の精度を評価し、実践的な環境においてある程度の影響はあるものの、必ずしも有効ではないことを確認した。