[發(fā)明專利]一種基于稀疏表示和模型融合的Android Malware分類方法

有效

• 申請?zhí)枺?/td>: 201811331646.2
• 申請日: 2018-11-09
• 公開（公告）號: CN109508545B
• 公開（公告）日: 2021-06-04
• 發(fā)明（設計）人: 文偉平;胡浩然;汪子龍
• 申請（專利權(quán)）人: 北京大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京萬象新悅知識產(chǎn)權(quán)代理有限公司 11360
• 代理人: 黃鳳茹

1.一種基于稀疏表示和模型融合的安卓惡意程序Android Malware分類方法，通過采用稀疏表示的方法，表示安卓惡意程序Android Malware的行為特征；再采用Stacking模型融合方法進行分類預測，由此提升模型預測性能；包括如下步驟：

A.提取安卓惡意程序的行為特征；執(zhí)行如下操作：

A1.下載并安裝QEMU模擬器；

A2.針對安卓惡意程序的數(shù)據(jù)集，在QEMU模型器上運行數(shù)據(jù)集中的每一個安卓惡意程序，對其系統(tǒng)調(diào)用的API進行檢測；

A3.得到API時序調(diào)用序列及相關(guān)信息，標記病毒類型并存入病毒庫；

B.稀疏表示API時序調(diào)用序列數(shù)據(jù)，作為惡意程序的行為特征；具體執(zhí)行如下操作：

B1.設置F是n*p的惡意程序行為特征的矩陣，其中，n表示惡意程序的數(shù)量，p表示從惡意程序中提取出行為特征的維度；

B2.使用K-SVD算法進行訓練學習，目標函數(shù)為下式：

D,X＝argmin{||X||₀}；s.t.||F-D*X||₂≤ε

其中，D是從數(shù)據(jù)集中學習得到的字典集；X是數(shù)據(jù)集的稀疏表示；ε是重構(gòu)特征矩陣所允許誤差的最大值；

B3.經(jīng)過學習得到惡意程序行為特征矩陣的稀疏表示X’；

C.模型的Stacking融合,執(zhí)行如下操作：

C1.選擇{RF，ET，AdaBoost，GBDT}作為第一層的基礎模型，對X’做出預測并輸出每個類對應的概率；

C2.將XgBoost作為第二層的融合模型，模型輸入是第一層基礎模型的預測結(jié)果，輸出最終的分類結(jié)果，即惡意程序類型；

通過上述步驟，實現(xiàn)基于稀疏表示和模型融合的Android Malware安卓惡意軟件分類。

2.如權(quán)利要求1所述分類方法，其特征是，安卓惡意程序的數(shù)據(jù)集具體通過網(wǎng)絡下載得到。

3.如權(quán)利要求1所述分類方法，其特征是，步驟A3具體對每一個受監(jiān)控進程，通過進程PC指針對比每一個調(diào)用的主程序API，進行API的捕獲，得到API的時序調(diào)用序列及相關(guān)信息；相關(guān)信息包括類名、函數(shù)名和函數(shù)參數(shù)。

4.如權(quán)利要求1所述分類方法，其特征是，步驟C具體通過調(diào)用sklearn.ensemble的python庫中的RF、ET、AdaBoost、GBDT，作為第一層的基礎模型；具體通過調(diào)用sklearn.model_selection的GridSearchCV，對X’進行自動調(diào)參的訓練。

5.如權(quán)利要求4所述分類方法，其特征是，對基礎模型，將X’分成訓練集和測試集，采用5-Fold的交叉驗證，每次留出其中的1份數(shù)據(jù)，其余的4份數(shù)據(jù)用于訓練；利用訓練得到的模型對留出的一份數(shù)據(jù)和測試集分別進行預測；預測過程包括多次循環(huán)，每次預測得到的結(jié)果為每個類對應的概率。

6.如權(quán)利要求5所述分類方法，其特征是，將在測試集上進行多次預測得到的多個結(jié)果求取算數(shù)平均數(shù)，作為預測結(jié)果。