[發明專利]一種基于頻繁項集描述的移動互聯網惡意應用檢測方法

有效

• 申請號: 201610060564.3
• 申請日: 2016-01-28
• 公開（公告）號: CN105530265B
• 公開（公告）日: 2019-01-18
• 發明（設計）人: 李青山
• 申請（專利權）人: 李青山
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 沈陽東大知識產權代理有限公司 21109
• 代理人: 梁焱

1.一種基于頻繁項集描述的移動互聯網惡意應用檢測方法，其特征在于，包括以下步驟：

步驟1、采用已知移動端惡意應用樣本歷史流量數據作為訓練數據，提取惡意應用樣本的頻繁項集，建立惡意應用樣本庫；

步驟2、在移動互聯網中采集并保存各個移動終端的網絡流量數據，對上述流量數據按照應用種類和時間進行分組并按照切分窗口進行切分，獲得每個移動終端各應用的頻繁項集，具體步驟如下：

步驟2-1、在移動互聯網中采集各個移動終端的網絡流量數據并保存；

步驟2-2、將固定周期內每個用戶的應用流量數據按照應用種類進行分組；

步驟2-3、對每個用戶的各個應用按照時間順序將流量數據進行分組；

步驟2-4、獲取惡意應用樣本庫內流量數據的最大時間間隔，將該時間間隔作為切分窗口對應用流量數據進行切分；

步驟2-5、將每個切分窗口內的流量數據進行向量化獲得項集集合，并提取該項集集合的頻繁項集；

步驟3、將步驟2所獲取的頻繁項集與惡意應用樣本庫進行比對，判斷各應用是否為惡意應用，若是，則提醒該移動終端此應用為惡意應用；否則，返回執行步驟2。

2.根據權利要求1所述的基于頻繁項集描述的移動互聯網惡意應用檢測方法，其特征在于，步驟2所述的在移動互聯網中采集各個移動終端的歷史流量數據，具體為：在移動互聯網運營商Gn設備旁側設置流量采集裝置。

3.根據權利要求1所述的基于頻繁項集描述的移動互聯網惡意應用檢測方法，其特征在于，步驟3所述的將步驟2所獲取的頻繁項集與惡意應用樣本庫進行比對，具體為：確定頻繁項集內每一項的相似度，再根據每項的相似度獲得各應用的頻繁項集與已知惡意樣本的頻繁項集之間的Jaccard距離，若Jaccard距離小于設定的閾值，則為惡意應用，否則，為正常應用。

4.根據權利要求1所述的基于頻繁項集描述的移動互聯網惡意應用檢測方法，其特征在于，步驟2-4所述的獲取惡意應用樣本庫內流量數據的最大時間間隔，即獲取樣本庫中每個應用的最大時間間隔，再求取平均值。

5.根據權利要求1所述的基于頻繁項集描述的移動互聯網惡意應用檢測方法，其特征在于，步驟2-5所述的頻繁項集，采用aprior算法進行挖掘，即挖掘出該應用頻繁出現的行為。