[发明专利]基于多特征的程序检测方法

权利要求书

1.一种基于多特征的程序类别检测方法，其特征在于，包括：

提取待测程序的多个特征；

去除所述多个特征中的权限特征和敏感应用程序编程接口API特征中的无效特征，得到所述权限特征和所述敏感API特征的最佳特征子集；

计算所述最佳特征子集中特征的权重系数；

对所述多个特征中的图片特征、XML文件特征以及组件特征进行回归分析；

基于所述最佳特征子集、所述权重系数、所述回归分析的结果及预先建立的分类模型确定待测程序的类别。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

提取原始样本集中各样本的多个特征，所述多个特征包括：权限特征、敏感API特征、图片特征、XML特征及组件特征；

去除所述权限特征和所述敏感API特征中的无效特征，得到所述权限特征和所述敏感API特征的最佳特征子集；

确定所述最佳特征子集中的特征的后验概率；

计算所述最佳特征子集中的特征的权重系数；

对所述图片特征、所述XML文件特征以及所述组件特征进行回归分析，计算所述图片特征、所述XML文件特征以及所述组件特征的后验概率；

基于所述权重系数，所述最佳特征子集中的特征的后验概率、及所述图片特征、所述XML文件特征及所述组件特征的后验概率生成分类模型。

3.根据权利要求2所述的方法，其特征在于，所述提取原始样本集中各样本的多个特征，包括：

获取所述样本的安卓安装包；

从所述安卓安装包中提取权限特征、敏感API特征、图片特征、XML特征以及组件特征。

4.根据权利要求2所述的方法，其特征在于，所述原始样本集包括正常程序样本集和恶意程序样本集，所述正常程序样本集包括多个正常程序样本，所述恶意程序样本集包括多个恶意程序样本，所述去除所述权限特征和所述敏感API特征中的无效特征，得到所述权限特征和所述敏感API特征的最佳特征子集，包括：

根据所述恶意程序样本集中的特征出现的特征频率与所述正常程序样本集中的相同特征出现的特征频率的差值，去除所述权限特征和所述敏感API特征中的不相关特征。

5.根据权利要求4所述的方法，其特征在于，所述去除所述权限特征和所述敏感API特征中的无效特征，得到所述权限特征和所述敏感API特征的最佳特征子集，还包括：

根据所述恶意程序样本集中和所述正常程序样本集中的熵与特征出现条件下的条件熵的差值，去除所述权限特征和所述敏感API特征中的噪声特征。

6.根据权利要求4所述的方法，其特征在于，所述去除所述权限特征和所述敏感API特征中的无效特征，得到所述权限特征和所述敏感API特征的最佳特征子集，还包括：

根据特征之间一阶自由度的卡方分布值，过滤所述权限特征和所述敏感API特征中的冗余特征，得到所述权限特征和所述敏感API特征的最佳特征子集。

7.根据权利要求2所述的方法，其特征在于，所述计算所述最佳特征子集中特征的权重系数，包括：

计算特征的信息增益值以及所述最佳特征子集的信息增益值；

基于所述特征的信息增益值及所述最佳特征子集的信息增益值的比值确定所述最佳特征子集中的特征的权重系数。

8.根据权利要求2所述的方法，其特征在于，所述确定所述最佳特征子集中的特征的后验概率，包括：

基于提取的特征确定所述权限特征及所述敏感API特征的先验概率及条件概率；

基于所述先验概率及条件概率确定所述权限特征和所述敏感API特征的后验概率，所述后验概率包括在正常程序类别下的后验概率及在恶意程序类别下的后验概率。