악성코드 패밀리 분포가 기계학습 모델 일반화 성능에 미치는 영향
Effect of Malware Family Distribution on the Generalization Performance of Machine Learning Models
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
기계학습 기반 악성코드 탐지 모델은 학습셋에 존재하는 구조적 특성을 일반화하여 새로운 악성코드를 탐지하는 것을 목표로 한다. 그렇지만, 실제 악성코드 데이터셋은 특정 패밀리에 편향된 분포를 가지는 경향이 있어, 모델이 본질적이지 않은 패턴에 의존하게 되고 이에 따라 일반화 성능이 저하될 수 있다. 본 연구는 학습셋의 패밀리 분포가 일반화 성능에 미치는 영향을 분석하기 위해 패밀리 중복 수준과 다양성을 조절해 학습셋을 구성하고, IID(Independent and Identically Distributed) 및 OOD(Out-of-Distribution) 환경에서 모델 성능을 측정했다. 실험 결과, 일정 수준의 패밀리 중복은 모델의 일반화 성능을 향상시킬 수 있었지만, 중복이 과도할 경우 모델의 일반화 성능이 저하될 수 있으며, 패밀리 다양성이 높을수록 성능이 뚜렷하게 향상되는 경향을 확인했다. 이러한 결과는 IID 환경에서는 나타나지 않았으며, 이는 악성코드 탐지 모델 개발 시 학습셋 구성과 OOD 환경 기반의 평가가 필수적임을 시사한다.
Abstract
Machine learning-based malware detection models aim to generalize structural characteristics present in the training set to detect new malware. However, real-world malware datasets tend to be biased toward specific families, which can cause models to rely on non-essential patterns, thereby degrading generalization performance. This study analyzes the impact of family distribution in the training set on generalization performance by constructing training sets with varying levels of family overlap and diversity, and evaluating model performance in both IID(Independent and Identically Distributed) and OOD(Out-of-Distribution) settings. Experimental results show that a certain level of family overlap can improve generalization performance, but excessive overlap can lead to performance degradation. Additionally, higher family diversity tends to significantly enhance performance. These effects were not observed in the IID setting, suggesting that training set composition and OOD-based evaluation are essential in the development of malware detecti on models.