Analyse von Hardware-basierten Malware-Detektoren

Die Erkennung von bösartiger Software auf Hardware-Ebene wird zunehmend als effektive Lösung für steigende Sicherheitsbedrohungen angesehen. Hardwarebasierte Detektoren verlassen sich auf Maschinenlernklassifikatoren (ML), um malwareähnliche Ausführungsmuster basierend auf Informationen von Hardware-Performance-Zählern (HPC) zur Laufzeit zu erkennen. Die Effektivität dieser Lernmethoden hängt hauptsächlich von den Informationen ab, die von einer teuren, begrenzten Anzahl von HPC bereitgestellt werden. Diese Arbeit ist der erste Versuch, verschiedene robuste Maschinenlernmethoden zur Klassifizierung von harmlosen und bösartigen Anwendungen gründlich zu analysieren. Angesichts der begrenzten Verfügbarkeit von HPC helfen die Analyseergebnisse, architektonische Entscheidungen darüber zu treffen, welche Hardware-Performance-Zähler am dringendsten benötigt werden, um die ML-Klassifikationsgenauigkeit effektiv zu verbessern. Für die Softwareimplementierung haben wir diese Klassifikatoren vollständig im Betriebssystem-Kernel implementiert, um verschiedene Softwareoverheads zu verstehen. Es wurde festgestellt, dass die Softwareimplementierung dieser Klassifikatoren relativ langsam ist, mit einer Ausführungszeit im Millisekundenbereich, was um ein Vielfaches höher ist als die Latenz, die benötigt wird, um Malware zur Laufzeit zu erfassen. Dies verlangt nach einer hardwarebeschleunigten Implementierung dieser Algorithmen. Für die Hardwareimplementierung haben wir die untersuchten Klassifikatormodelle auf FPGA synthetisiert, um verschiedene Entwurfsparameter einschließlich Logikfläche, Stromverbrauch und Latenz zu vergleichen. Die Ergebnisse zeigen, dass während komplexe ML-Klassifikatoren wie MultiLayerPerceptron und logistische Regression nahezu 90% Genauigkeit erreichen, sie unter Berücksichtigung ihrer Implementierungsüberhänge in Bezug auf PDP, Genauigkeit/Fläche und Latenz im Vergleich zu einfacheren, aber leicht weniger genauen regel- und baumbasierten Klassifikatoren schlechter abschneiden. Unsere Ergebnisse zeigen außerdem, dass OneR der kosteneffektivste Klassifikator mit mehr als 80% Genauigkeit und einer schnellen Ausführungszeit von weniger als 10ns ist und die höchste Genauigkeit pro Logikfläche erreicht, wobei er hauptsächlich auf Informationen von nur einem einzigen Branch-Instruction HPC angewiesen ist.