Explainable Malware Detection with Tailored Logic Explained Networks

恶意软件检测是网络安全中的一个持续挑战，因为新的攻击技术不断涌现。传统的基于签名的方法难以跟上恶意软件样本的数量。机器学习提供了一种有前途的解决方案，但面临着泛化到未知样本和缺乏对被识别为恶意软件实例的解释等问题。然而，在安全关键领域中，人类可理解的解释尤其重要，因为理解模型决策对于信任和法律合规至关重要。虽然深度学习模型在恶意软件检测方面表现出色，但它们的黑盒特性阻碍了可解释性。相反，可解释模型在性能方面通常表现不佳。为了弥合这个应用领域中的差距，本文提出了逻辑解释网络（LENs）的使用，它们是一类最近提出的可解释神经网络，提供以一阶逻辑规则形式的解释。本文扩展了LENs在恶意软件检测这一复杂领域的应用，具体使用了大规模的EMBER数据集。在实验结果中，我们展示了LENs实现了超越传统可解释方法的鲁棒性，并且与黑盒模型竞争。此外，我们介绍了一种定制版本的LENs，该版本显示出与模型预测相关性更高的逻辑解释生成能力。

本文旨在解决恶意软件检测中黑盒模型缺乏可解释性的问题，提出一种基于逻辑解释网络（LEN）的可解释神经网络模型。

本文提出使用LEN来解释深度学习模型的决策过程，将黑盒模型转化为可解释的模型，从而提高模型的可靠性和可信度。

本文使用大规模的EMBER数据集对LEN进行了实验验证，结果表明LEN的鲁棒性超过了传统的可解释方法，并且接近于黑盒模型。此外，本文还提出了一种定制版本的LEN，其生成的逻辑解释与模型的预测更加一致。

近年来，研究者们提出了许多可解释机器学习模型的方法，如决策树、规则集等。与LEN类似的方法包括基于规则的方法和基于符号学习的方法。