[發明專利]基于隨機森林分類方法的Android平臺惡意應用檢測方法

在審

• 申請號: 201510969901.6
• 申請日: 2015-12-22
• 公開（公告）號: CN105550583A
• 公開（公告）日: 2016-05-04
• 發明（設計）人: 桂盛霖;楊漫游;王沐;李多航
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 電子科技大學專利中心 51203
• 代理人: 周劉英

1.基于隨機森林分類方法的Android平臺惡意應用檢測方法，其特征在于，包括下列步 驟：

獲取Android應用樣本，包括善意應用樣本和惡意樣本；

獲取Android應用的所有可申請權限、所有可調用API，得到權限集和API集；

提取各Android應用樣本的靜態特征，包括各應用樣本所申請的權限、所調用的API；

基于各Android應用樣本的靜態特征、權限集和API集構建樣本庫，所述樣本庫包括的 表項有：Android應用標識符、區分善意和惡意的類型標識符、對權限集中各權限的申請標 識符、對API集中的各API的調用標識符；

根據樣本庫，構建隨機森林的每棵決策樹，得到隨機森林分類器：

基于樣本庫進行取樣，得到不同組的訓練數據集，將一組訓練數據集所包括的Android 應用作為決策樹的根節點下的Android應用，對決策樹的各節點進行分裂處理，得到一棵決 策樹：

隨機選擇基于當前節點下的m個靜態特征，并分別計算各靜態特征所對應的信息增益， 其中m為預設值；取信息增益最大的靜態特征作為當前節點的分裂屬性，基于分裂屬性對每 個節點進行分裂，即將具有分裂屬性所對應的靜態特征的Android應用分到一個葉子節點， 不具有分裂屬性所對應的靜態特征的Android應用分到另一個葉子節點，直到當前節點下 的Android應用的個數為1或分裂屬性用完；各葉子節點所屬的類別取決于其下的Android 應用的類型，若同時包括兩類Android應用，則取決于包含Android應用個數最多的類型；

提取待檢測Android應用的靜態特征，基于隨機森林分類器對待檢測Android應用進行 分類，檢測待檢測Android應用是否為惡意應用。

2.如權利要求1所述的方法，其特征在于，區分善意和惡意的類型標識符為0和1，其中0 表示善意，1表示惡意；對權限集中各權限的申請標識符為0和1，其中0表示沒有申請該權 限，1表示申請到該權限；對API集中的各API的調用標識符為0和1，其中0表示沒有調用，1表 示調用。

3.如權利要求1或2所示的方法，其特征在于，構建多個隨機森林，選擇分類準確率最高 的隨機森林作為隨機森林分類器。