检索结果-南通市图书馆

基于API调用信息的Android恶意应用检测

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于API调用信息的Android恶意应用检测

作者：耿益瑾东南大学

学位级别：硕士

Android恶意应用程序的爆炸式增长,严重威胁了用户的隐私数据与财产安全,因此通过Android应用程序的代码审计,识别Android恶意应用程序至关重要。同时,对检测出的恶意应用程序进行家族分类,便于研究恶意家族的版本迭代与变种规律,从而... 详细信息

Android恶意应用程序的爆炸式增长,严重威胁了用户的隐私数据与财产安全,因此通过Android应用程序的代码审计,识别Android恶意应用程序至关重要。同时,对检测出的恶意应用程序进行家族分类,便于研究恶意家族的版本迭代与变种规律,从而制定相应的防御性保护措施。鉴于Android恶意应用在实施危险操作时,往往请求特定的API函数来访问系统,且通过静态或动态分析,即可获取应用程序的API调用信息,因此许多研究方法提取应用程序的API调用特征,进行Android恶意应用的检测。常见的API调用特征包括API函数调用图或基于API调用序列特征。然而函数调用图属于非欧几里徳结构数据,不能用传统的机器学习算法进行处理,而常见的谱图卷积网络GCN只能处理无向函数调用图,这将导致函数之间有向调用关系的丢失,降低识别准确率。对于API调用序列特征,现有方法多考虑API序列的单向语义相关性,未充分挖掘API的双向语义信息,且恶意API序列段只占整体序列的一小部分,序列中冗余API较多,给特征提取带来困难。此外对于恶意应用家族的分类,现有分类方法多提取家族中所有样本的共同行为特征,但随着恶意家族的不断发展,属于同一家族的Android恶意应用可能以不同的实现方式完成相同的恶意活动,因此该类恶意应用可以轻松避开分类方法。现有基于深度学习的分类模型,多依赖大量已标记样本进行训练,当家族样本较为稀缺时,模型容易出现过度拟合的情况。本文针对现有基于Android应用程序API调用实现恶意程序检测及恶意家族检测所面临的技术难题,将基于函数调用图的静态检测方法与基于API调用序列的动态检测方法相结合,识别恶意应用程序并进行家族分类。主要工作与创新点如下:(1)为解决静态分析中谱图卷积网络无法处理有向函数调用图的问题,提出一种有向图卷积网络以提取函数调用图的API节点聚合特征。针对函数调用图规模较大,冗余信息较多的问题,通过提取危险权限相关的API集合,重构有向函数调用图。为有效处理有向函数调用图,对传统的谱图卷积网络进行改进,将非对称的有向图邻接矩阵转换为三个不同层次的对称图矩阵,在有效提取有向函数调用图的API节点聚合特征的同时,又可以扩展卷积网络的感受野,避免堆叠卷积网络导致训练参数过多的问题。实验表明该方法具有较好的分类效果,准确率可达0.9504,F1值可达0.9499,与传统基于谱图卷积网络的分类算法相比,具有较好的性能。(2)为解决动态分析中冗余API较多,提取恶意序列段较难,以及未充分挖掘API调用序列上下文语义信息的问题,提出了一种结合Bi-LSTM和自注意力机制的时序分析方法。针对冗余API节点较多的问题,在序列预处理阶段,利用N-gram对动态分析提取的API时间序列进行划分,并通过TF-IDF算法进行敏感API短序列集合的提取,从而删减冗余API信息。同时利用Word2vec得到每个短序列的稠密向量,避免API序列向量过于稀疏。在特征提取阶段,将应用程序的API序列向量输入Bi-LSTM学习双向语义信息,并将输出的隐状态通过自注意力机制,分配不同的权重,以有效提取应用程序的API序列特征,实现恶意应用检测。实验结果表明,该方法的准确率和F1值分别达到0.9293和0.9288,若将静态分析与动态分析相结合,检测方法的准确率和F1值可达0.9711和0.9698。(3)为解决现有家族分类方法仅提取家族单个行为原型作为特征,以及无法有效处理小样本恶意家族和识别未知新家族的问题,提出了一种利用元学习的小样本家族分类方法。为构建家族多原型以提高分类效果,基于上述Bi-LSTM模型提取的序列特征,通过原型网络创建恶意家族初始单原型,在此基础上进行迭代学习,为多行为模式的恶意家族,创建多个原型特征以进行分类。在恶意应用家族分类阶段,基于N-way K-shot任务,利用元学习不断训练分类器,使其获得先验知识以克服小样本过度拟合的情况,通过度量恶意应用与各家族原型的距离实现恶意应用的家族分类。对部分未成功匹配的恶意应用,认定其为未知新家族,提取其家族原型特征加入模型,而不用重新训练分类器。实验结果表明,该分类的准确率达0.9756,F1值达0.9731。与其他分类器相比有较大提升。同时在小样本家族分类上,平均准确率可达0.9311。

关键词： Android 函数调用图 API调用序列恶意应用检测恶意应用家族

Android恶意应用检测标签噪声过滤系统的研究与实现

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

Android恶意应用检测标签噪声过滤系统的研究与实现

作者：王柳北京邮电大学

学位级别：硕士

如今Android恶意应用的快速发展对Android平台的安全性构成诸多威胁,也使移动用户面临巨大的欺诈和网络攻击风险。Android恶意应用检测研究近年来一直是移动安全领域的重点研究课题。然而,在基于机器学习的Android恶意应用检测中,存在... 详细信息

如今Android恶意应用的快速发展对Android平台的安全性构成诸多威胁,也使移动用户面临巨大的欺诈和网络攻击风险。Android恶意应用检测研究近年来一直是移动安全领域的重点研究课题。然而,在基于机器学习的Android恶意应用检测中,存在一个不容忽视的问题是训练数据集中很可能包含噪声标签,这对于检测模型的性能具有相当大的影响。而随着相关研究中使用的数据集规模不断扩大,这种影响变得愈发严峻。实际上,除了 Android恶意应用之外,标签噪声是机器学习数据集(如图像数据集)的一个常见问题。学术界有大量的研究和技术来解决噪声标签的问题,但由于应用程序复杂的成分构成与图片存在本质的差别,这些技术在迁移到Android恶意应用领域时具有诸多挑战。目前Android恶意应用检测面临的数据集含有噪声的问题还没有得到有效的解决。为了克服这个挑战,本文提出一种新型的标签噪声检测算法,并在此基础上设计并实现了一套Android恶意应用检测标签噪声过滤系统。本文主要研究内容如下:(1)提出一种新型有效的Android恶意应用数据集标签噪声检测算法。本文首先展开了大规模的实证研究揭示当前研究界常用的恶意应用标注方法的不可靠性。针对此问题,经过充分的调研和探索,本文提出了一种基于置信学习、集成学习和应用关系的标签噪声检测算法。本文将置信学习估计噪声的技术迁移到Android应用程序数据集的噪声检测中,再通过集成学习的思想来缓解单个模型所引入的偏差,从而达到更稳健的噪声检测效果;最后利用应用程序之间的关联关系调整噪声检测结果,以提高算法的精确性。(2)为了验证上述算法的性能,本文展开一系列的实验评估工作。实验结果表明,在数据集包含不同噪声率(5%-30%)的情况下,本文方法具有优秀且稳定的噪声检测效果,检测的准确率保持在94%以上,且F1超过91%。此外,与其他前沿研究对比,本文算法不仅取得更好的噪声检测效果(提升8%到218%),而且所用时间更短(快70到249倍)。本文还通过实验验证了本文噪声检测算法对于现有的Android恶意应用检测工具的性能提升作用。这些结果证明了本文算法的有效性和可行性,可以快速、有效地减少Android应用数据集中的噪声样本。同时,为了在实验中使用更可靠、更先进的数据集,本文设计并实现了一个自动化恶意应用收集工具,从Android恶意应用相关的安全报告中收集了超过4K个真实的恶意应用样本。此自动化收集工具不仅可以大大节省研究人员收集数据的时间,而且具有可重用性,方便日后对恶意应用数据集的更新与维护。(3)本文设计并实现了一套完整的Android恶意应用标签噪声过滤系统。该系统是一个为恶意应用检测方法减少数据集噪声的通用框架,可以适用于任何基于机器学习的Android恶意应用检测方法。

关键词： Android 恶意应用检测标签噪声置信学习集成学习

基于多特征融合的Android恶意应用检测研究

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于多特征融合的Android恶意应用检测研究

作者：陶舒阳南京邮电大学

学位级别：硕士

Android系统凭借其完全开源的特性成为了最受开发者和用户欢迎的移动操作系统。随着用户对应用使用的需求不断增长,各种类型的应用数量也迅速增加,其中包含了大量恶意应用,会给用户的信息安全造成侵害。因此,恶意应用检测的研究受到了... 详细信息

Android系统凭借其完全开源的特性成为了最受开发者和用户欢迎的移动操作系统。随着用户对应用使用的需求不断增长,各种类型的应用数量也迅速增加,其中包含了大量恶意应用,会给用户的信息安全造成侵害。因此,恶意应用检测的研究受到了广泛关注,衍生了各种恶意应用检测机制和防护措施。然而,随着混淆和加密技术的普及,基于代码相似性的恶意应用检测技术已难以满足当下的检测需求。因此,设计一种高效、精确且能够抵抗混淆的Android恶意应用检测算法具有重要的现实意义。本文提出了一种多特征融合的恶意应用检测算法,以解决单一检测算法在准确率或效率上的不足。首先,为了提高恶意应用检测效率,本文提出了一种基于系统调用特征的恶意应用检测算法。该算法在系统调用特征向量的基础上,采用基于KD-Tree的改进K最邻近算法检测Android应用的恶意性。实验结果表明,该算法与传统的K最邻近算法相比,在检测速度上有明显的提升。其次,为了提高恶意应用检测准确率,本文提出了一种基于界面布局特征的恶意应用检测算法。该算法将Android应用的界面布局特征转化为树形结构,并计算界面布局特征树在控件和结构两个层面的相似度,根据相似度分析应用的恶意性。实验结果表明,该算法与其他检测算法相比具有更高的准确率。同时,本文通过融合两种检测算法的方式,在恶意应用检测的过程中既保证了较高的检测效率,又维持了较高的准确率。最后,本文基于两种检测算法的融合,实现了一个Android恶意应用检测系统。该系统能够有效执行恶意应用检测任务,并将检测报告以图形界面的形式展示给用户。系统测试表明,该系统具有良好的可用性和稳定性,适用于大规模的Android恶意应用检测场景。

关键词： Android应用恶意应用检测系统调用 K最邻近算法界面相似度

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于集成分类的恶意应用检测方法

南京理工大学学报 2016年第1期40卷 35-40页

作者：黄伟陈昊郭雅娟姜海涛江苏省电力公司电力科学研究院江苏南京210036

针对难以准确判断单一的特征和单一的数据挖掘算法对于恶意应用检测精度影响的问题,该文提出了一种基于集成分类的恶意应用检测方法,该方法以安卓平台上的应用为研究对象,采用静态分析方法提取三类特征:权限特征、组件特征和函数调用特... 详细信息

针对难以准确判断单一的特征和单一的数据挖掘算法对于恶意应用检测精度影响的问题,该文提出了一种基于集成分类的恶意应用检测方法,该方法以安卓平台上的应用为研究对象,采用静态分析方法提取三类特征:权限特征、组件特征和函数调用特征;在此基础上,分别为每一类特征应用多种基分类器建立分类模型,并采用集成学习的思想设计一致性函数产生多种基分类器的决策结果作为某一特征上的分类结果;最后,再次采用集成学习的思想,融合每一类特征的分类结果,产生面向多特征的恶意应用分类结果。针对应用市场的真实应用的检测分析结果表明:面向多特征的集成分类检测方法能提高恶意应用检测精度。

关键词：安卓分类集成学习恶意应用检测静态分析支持向量机特征选择

在线全文

学校读者我要写书评

暂无评论

基于系统调用的安卓恶意应用检测方法

南京理工大学学报 2017年第6期41卷 720-724,729页

作者：陈昊姜海涛郭静周超姚楠徐建国网江苏省电力公司电力科学研究院江苏南京211103 南京理工大学计算机科学与工程学院江苏南京210094

针对恶意应用静态检测方法精度低的问题,以安卓(Android)应用运行时产生的系统调用为研究对象,提出1种恶意应用动态检测方法。将Android移动应用在沙盒环境下通过事件仿真获得的系统调用序列进行特征化,设计了基于系统调用次数和基于系... 详细信息

针对恶意应用静态检测方法精度低的问题,以安卓(Android)应用运行时产生的系统调用为研究对象,提出1种恶意应用动态检测方法。将Android移动应用在沙盒环境下通过事件仿真获得的系统调用序列进行特征化,设计了基于系统调用次数和基于系统调用依赖图的2种特征表示方法。采用集成学习方法构建分类器,区分恶意应用和正常应用。采用来自于第三方应用市场的3 000个样本进行了实验验证。结果表明,基于系统调用依赖图的特征表示方法优于基于系统调用次数的特征表示方法,采用集成分类器具有较好的检测精度,达95.84%。

关键词：安卓恶意应用检测静态检测动态检测特征化系统调用次数系统调用依赖图

在线全文

学校读者我要写书评

暂无评论

基于改进深度残差网络的恶意应用检测方法

电子技术与软件工程 2022年第21期 48-52页

作者：李文嵩苏凯旋朱政昊鞍钢集团信息产业有限公司辽宁省鞍山市114000

本文改进了深度残差网络,同时预处理了流量特征,使之成为卷积神经网络的输入,转化为模型可输入数据。接着使用从深度残差网络提取流量图特征,然后引入金字塔特征提取模块并加入变化特征融合模块来有效的融合变化区域的特征并抑制非恒定... 详细信息

本文改进了深度残差网络,同时预处理了流量特征,使之成为卷积神经网络的输入,转化为模型可输入数据。接着使用从深度残差网络提取流量图特征,然后引入金字塔特征提取模块并加入变化特征融合模块来有效的融合变化区域的特征并抑制非恒定区域的特征。最后使用多粒度流量特征进行恶意应用检测识别,最终获得粗粒度与细粒度的流量特征表达,最后融合多粒度的流量特征表达,实现恶意应用高精度识别。本文方法在恶意应用的2分类、4分类和42分类中准确率分别为99.30%、99.63%和96.25%,相较于传统的机器学习算法在模型的准确率、召回率等方面均具有较好的效果。

关键词：恶意应用检测深度残差网络金字塔特征多粒度融合信息安全

基于函数调用图分析的NGB TVOS恶意应用检测方法

在线全文

学校读者我要写书评

暂无评论

北京交通大学学报 2019年第2期43卷 9-17页

作者：王继刚李媛媛高珍祯王伟中兴通讯股份有限公司成都610041 北京交通大学智能交通数据安全与隐私保护技术北京市重点实验室北京100044

TVOS是我国自主研发的新一代具有自主知识产权、可管可控、安全高效的智能电视操作系统.TVOS自带应用商店是TVOS应用安装的唯一途径,但也对应用的检测提出了更高的要求.与Android应用不同,TVOS应用中很多权限和硬件调用均不涉及.采用函... 详细信息

TVOS是我国自主研发的新一代具有自主知识产权、可管可控、安全高效的智能电视操作系统.TVOS自带应用商店是TVOS应用安装的唯一途径,但也对应用的检测提出了更高的要求.与Android应用不同,TVOS应用中很多权限和硬件调用均不涉及.采用函数调用图作为特征来弥补权限、API调用等在TVOS应用上表征能力上的不足的缺点.该方法采用基于核函数的分析方法和基于图相似度算法的分析方法提取TVOS应用的结构信息作为特征,使用SVM、RF、KNN 3种机器学习算法进行训练和分类.实验结果表明:所提出的基于函数调用图分析的NGB TVOS恶意应用检测方法能有效地检测出TVOS中的恶意应用,检测率最高达98.38%.

关键词：信息安全 NGBTVOS 函数调用图恶意应用检测分类算法

基于有向信息流的Android隐私泄露类恶意应用检测方法

在线全文

学校读者我要写书评

暂无评论

中国科学院大学学报（中英文） 2015年第6期32卷 807-815页

作者：吴敬征武延军武志飞杨牧天罗天悦王永吉中国科学院软件研究所总体部北京100190 中国科学院软件研究所计算机科学国家重点实验室北京100190 中国科学院软件研究所基础软件国家工程中心北京100190

Android系统占据智能移动终端市场81.9%的份额,预计还会持续增长.同时,针对Android系统的恶意应用日益增多,Android恶意应用程序检测技术已经成为安全领域研究的热点问题.本文提出一种基于有向信息流的针对Android隐私泄漏类恶意应用的... 详细信息

Android系统占据智能移动终端市场81.9%的份额,预计还会持续增长.同时,针对Android系统的恶意应用日益增多,Android恶意应用程序检测技术已经成为安全领域研究的热点问题.本文提出一种基于有向信息流的针对Android隐私泄漏类恶意应用的检测方法.该方法首先反编译应用程序,分析配置文件中的权限申明;基于隐私点数据集构建隐私数据有向信息流模型;通过在信息流模型中对隐私点的跟踪分析,检测隐私数据是否被发送出去而导致信息泄漏.该方法在对Android第三方市场的7 985个应用程序检测中,发现357个恶意应用.通过实验方式验证了检测结果的准确性.结果表明该方法对Android隐私泄露类恶意应用具有很好的检测效果.

关键词： Android应用隐私泄露有向信息流恶意应用检测反编译

基于权限频繁模式挖掘算法的Android恶意应用检测方法

在线全文

学校读者我要写书评

暂无评论

通信学报 2013年第S1期34卷 106-115页

作者：杨欢张玉清胡予濮刘奇旭西安电子科技大学综合业务网理论及关键技术国家重点实验室陕西西安710071 中国科学院大学国家计算机网络入侵防范中心北京100190

Android应用所申请的各个权限可以有效反映出应用程序的行为模式,而一个恶意行为的产生需要多个权限的配合,所以通过挖掘权限之间的关联性可以有效检测未知的恶意应用。以往研究者大多关注单一权限的统计特性,很少研究权限之间关联性的... 详细信息

Android应用所申请的各个权限可以有效反映出应用程序的行为模式,而一个恶意行为的产生需要多个权限的配合,所以通过挖掘权限之间的关联性可以有效检测未知的恶意应用。以往研究者大多关注单一权限的统计特性,很少研究权限之间关联性的统计特性。因此,为有效检测Android平台未知的恶意应用,提出了一种基于权限频繁模式挖掘算法的Android恶意应用检测方法,设计了能够挖掘权限之间关联性的权限频繁模式挖掘算法—PApriori。基于该算法对49个恶意应用家族进行权限频繁模式发现,得到极大频繁权限项集,从而构造出权限关系特征库来检测未知的恶意应用。最后,通过实验验证了该方法的有效性和正确性,实验结果表明所提出的方法与其他相关工作对比效果更优。

关键词：频繁模式数据挖掘恶意应用检测权限特征 Android系统