[發明專利]終端應用的檢測方法和裝置

在審

• 申請號: 201711196245.6
• 申請日: 2017-11-25
• 公開（公告）號: CN107798243A
• 公開（公告）日: 2018-03-13
• 發明（設計）人: 郭志民;牛霜霞;呂卓;張鵬;陳崧;魏寒冰;王艷敏;肖寒
• 申請（專利權）人: 國網河南省電力公司電力科學研究院;國家電網公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/04;G06N3/08
• 代理公司: 蘇州知途知識產權代理事務所(普通合伙)32299
• 代理人: 張錦波

1.一種終端應用的檢測方法，其特征在于，包括：

獲取終端應用的樣本訓練集，所述樣本訓練集包括正常終端應用和惡意終端應用；

利用自編碼對所述樣本訓練集進行預處理，得到預處理后的樣本訓練集；

將所述預處理后的樣本訓練集輸入到預先建立的初始卷積神經網絡模型中，訓練得到卷積神經網絡；

利用訓練得到的卷積神經網絡對待測終端應用進行檢測，以確定所述待測終端應用是否為惡意應用。

2.根據權利要求1所述的檢測方法，其特征在于，利用自編碼對所述樣本訓練集進行預處理，得到預處理后的樣本訓練集包括：

對所述樣本訓練集中的終端應用文件進行分析，提取每個終端應用的特征；

利用提取的特征生成每個終端應用的特征向量，得到特征向量集，其中，每個特征向量用于表示對應的終端應用；

利用自編碼對所述特征向量集進行降維處理，得到預處理后的樣本訓練集，并確定自編碼網絡的層數以及各層節點數量。

3.根據權利要求2所述的檢測方法，其特征在于，對所述樣本訓練集中的終端應用文件進行分析，提取每個終端應用的特征包括：

采用靜態分析方法對各個終端應用樣本的apk文件進行分析，利用分析工具提取樣本的11個類型的特征，包括Permissions、Filtered Intents、Restricted API calls、Component Names、Code Related Features、Certificate Information、Payload Information、Payload Information、Strings contained in the source code of app、Used Permissions、Hardware Features、Suspicious API Calls，每個類型的特征包括多個子特征；

利用提取的特征生成每個終端應用的特征向量包括：將每個終端應用樣本具有的特征組成特征集合，并添加樣本的分類標簽，處理成對應的特征向量。

4.根據權利要求1所述的檢測方法，其特征在于，利用自編碼對所述特征向量集進行降維處理包括：

確定所有終端應用樣本中包含的最大樣本特征數，并對于特征數小于所述最大樣本特征數的樣本進行補零處理；

構造基于自編碼的5層自編碼網絡，依次包括1個輸入層，3個隱含層和1個分類層；

設置自編碼網絡的輸入層節點數與所述最大樣本特征數相同，并設置第一個隱含層節點數、第二個隱含層節點數、第三個隱含層的節點數以及分類層的節點數，其中，第一個隱含層的輸出最為第二個隱含層的輸入，第二個隱含層的輸出作為第三個隱含層的輸入，將第三個隱含層的輸出作為分類層的輸入，將無標簽的特征向量作為輸入層，有標簽的特征向量的標簽作為分類層的輸出；

利用反向傳播算法對自編碼網絡進行調整，優化網絡結構參數，最終將輸入層與3個隱含層組成特征降維模型；

利用所述特征降維模型將所有的樣本進行降維。

5.根據權利要求1所述的檢測方法，其特征在于，在將所述預處理后的樣本訓練集輸入到預先建立的初始卷積神經網絡模型中，訓練得到卷積神經網絡之前，還包括：

構造初始卷積神經網絡的卷積層和池化層；

確定所述卷積層中卷積核的大小與個數、所述池化層的參數、所述卷積層與所述池化層的層數以及連接方式，得到所述初始卷積神經網絡模型。

6.一種終端應用的檢測裝置，其特征在于，包括：

獲取單元，用于獲取終端應用的樣本訓練集，所述樣本訓練集包括正常終端應用和惡意終端應用；

處理單元，用于利用自編碼對所述樣本訓練集進行預處理，得到預處理后的樣本訓練集；

訓練單元，用于將所述預處理后的樣本訓練集輸入到預先建立的初始卷積神經網絡模型中，訓練得到卷積神經網絡；

檢測單元，用于利用訓練得到的卷積神經網絡對待測終端應用進行檢測，以確定所述待測終端應用是否為惡意應用。