[發(fā)明專利]基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法

有效

• 申請?zhí)枺?/td>: 201710251260.X
• 申請日: 2017-04-18
• 公開（公告）號: CN107256357B
• 公開（公告）日: 2020-05-15
• 發(fā)明（設(shè)計）人: 解男男;劉吉強(qiáng);王星;王偉;韓臻
• 申請（專利權(quán)）人: 北京交通大學(xué)
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京正理專利代理有限公司 11257
• 代理人: 付生輝;陳君智

1.一種基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，包括：

基于類別提取惡意應(yīng)用特征集；

采用深度學(xué)習(xí)算法對應(yīng)用樣本進(jìn)行惡意性檢測并依據(jù)檢測結(jié)果將所述應(yīng)用樣本分為惡意應(yīng)用和正常應(yīng)用；

采用特征選擇算法對惡意應(yīng)用特征進(jìn)行排序；

采用機(jī)器學(xué)習(xí)分類算法對惡意家族進(jìn)行識別；

構(gòu)建惡意家族特征子集并進(jìn)行惡意家族行為分析；

其中，所述采用特征選擇算法對惡意應(yīng)用特征進(jìn)行排序具體包括：

采用Fisher特征選擇算法對惡意軟件特征進(jìn)行排序并給出惡意家族特征的重要性序列，基于所述重要性序列挑選特征子集；

基于頻率的特征篩選算法，在特征選擇結(jié)果的基礎(chǔ)上挑選出能夠描述惡意家族行為的特征；

定義五元組[F，N，M，NS，R]，其中包含如下定義：

F：當(dāng)前待評估的特征類別，特征的維度表示為Dim_F，該特征集中的某一個特定的維度，即某一個特定的特定，表示為F_i；

N：樣本數(shù)，其中N_be表示正常(benign)組中包含的樣本數(shù)；N_ma表示惡意(malicious)組中包含的樣本數(shù)；

M：特征數(shù)，其中M_be表示正常(benign)在當(dāng)前特征數(shù)；M_ma表示惡意(malicious)組當(dāng)前的特征數(shù)，采用樣本數(shù)與特征維度的乘積來估計特征數(shù)，即M_be＝N_be*Dim_F，M-ma＝N_ma*Dim_F；

NS：某一個特征F_i在特征集中出現(xiàn)的次數(shù)，NS_be表示特征F_i在正常(benign)中出現(xiàn)的次數(shù)，NS_ma表示特征F_i在惡意(malicious)中出現(xiàn)的次數(shù)；

R：特征數(shù)量比值，用來衡量當(dāng)前特征F_i是否納入特征子集；

根據(jù)R值的大小，選擇是否將當(dāng)前特征納入特征集。

2.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，采用靜態(tài)分析方法提取惡意應(yīng)用特征集，所述特征集至少包括以下類別的特征：可疑API調(diào)用(Suspicious API calls)、代碼相關(guān)模式(Code related patterns)、硬件特征(Hardware features)、過濾的Intent對象(Filteredintents)、請求的權(quán)限(Requestedpermissions)、受限制的API調(diào)用(Restricted API calls)和應(yīng)用的權(quán)限(Usedpermissions)。

3.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，所述對應(yīng)用樣本進(jìn)行惡意性檢測之前，還包括以下步驟：

通過清洗、構(gòu)建特征表、數(shù)值化映射過程，并采用Word2Vector技術(shù)，將所提取的安卓軟件特征處理為可以供深度學(xué)習(xí)訓(xùn)練的特征矩陣。

4.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，所述基于頻率的特征篩選算法基于當(dāng)前特征在惡意樣本和正常樣本中出現(xiàn)的概率，判斷該特征是否能夠用來描述惡意家族的特征。

5.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，所述基于頻率的特征篩選算法具體包括：

針對特征選擇排序結(jié)果中的一個特征，計算該特征在兩個類別樣本中分別出現(xiàn)的概率；

當(dāng)出現(xiàn)在惡意樣本中的概率大于出現(xiàn)在正常樣本中的概率時，則認(rèn)為當(dāng)前特征能夠用來描述惡意家族的特征；

當(dāng)出現(xiàn)在正常樣本中的概率大于或等于出現(xiàn)在惡意樣本中的概率時，則認(rèn)為當(dāng)前特征不能用來描述惡意家族的特征。

6.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，對惡意家族進(jìn)行識別采用SVM機(jī)器學(xué)習(xí)算法，將構(gòu)建出的特征作為輸入來識別出經(jīng)過訓(xùn)練的惡意家族類型。

7.根據(jù)權(quán)利要求1所述的基于深度學(xué)習(xí)的安卓惡意應(yīng)用的檢測和分析方法，其特征在于，結(jié)合特征選擇、特征篩選和所述特征子集進(jìn)行惡意家族行為分析，用于反映并分類當(dāng)前家族的惡意行為。