[发明专利]一种基于并行集成学习的安卓恶意应用检测方法及系统

权利要求书

1.一种基于并行集成学习的安卓恶意应用检测方法，其特征在于，包括：

通过对待检测安卓应用进行逆向工程获取所述待检测安卓应用的源码文件和配置文件，并从所述源码文件和配置文件中提取静态行为特征；

对静态行为特征进行筛选；

根据筛选后的静态行为特征构建行为特征向量；

根据所述行为特征向量和机器学习算法构建并行集成学习模型；

根据所述并行集成学习模型对安卓恶意应用进行检测。

2.根据权利要求1所述的基于并行集成学习的安卓恶意应用检测方法，其特征在于，所述静态行为特征包括基于平台定义的静态行为特征和应用独立的静态行为特征，所述对静态行为特征进行筛选的步骤包括：

采用信息增益算法对应用独立的静态行为特征进行筛选；

采用基于使用频次的特征选择算法对基于平台定义的静态行为特征进行筛选；

其中，所述基于平台定义的静态行为特征包括请求的权限、硬件信息、API调用、受保护的API、使用的权限、源码模式和负载信息，应用独立的静态行为特征包括应用组件、Intents、认证信息和字符串。

3.根据权利要求1所述的基于并行集成学习的安卓恶意应用检测方法，其特征在于，所述根据筛选后的静态行为特征构建行为特征向量的步骤，包括:

将所述每个筛选后的静态行为特征作为一个维度加入到特征向量中，如果待检测安卓应用具备所述筛选后的静态行为特征，则所述特征向量中的对应位置置1，反之置0；

其中，0表示待检测安卓应用为安卓恶意应用或非恶意应用两者中的一种，1表示待检测安卓应用为安卓恶意应用或非恶意应用两者中的另一种。

4.根据权利要求1所述的基于并行集成学习的安卓恶意应用检测方法，其特征在于，所述构建并行集成学习模型的步骤包括:

使用基于GPU的并行算法来创建多分类器模型；

创建分类算法，构建并行集成学习模型，所述分类算法包括K个最近邻(KNN)、决策树(J48)和随机森林(RandomForest)三种机器学习算法。

5.根据权利要求1所述的基于并行集成学习的安卓恶意应用检测方法，其特征在于，所述根据所述并行集成学习模型对安卓恶意应用进行检测的步骤包括:

使用多线程并行的算法对所述集成学习模型中的多个分类器进行并行训练和分类，得到不同分类器的结果；

使用基于概率分析的集成方法和基于DS证据理论的集成方法来对所述不同分类器的结果进行集成得到最终分类结果，实现对安卓恶意应用的检测。

6.一种基于并行集成学习的安卓恶意应用检测系统，其特征在于，包括：

提取模块，用于通过对待检测安卓应用进行逆向工程后获取所述待检测安卓应用的源码文件和配置文件，并从所述源码文件和配置文件中提取静态行为特征；

过滤模块，用于对静态行为特征进行筛选；

第一处理模块，用于根据筛选后的静态行为特征构建行为特征向量；

第二处理模块，用于根据所述行为特征向量和机器学习算法构建并行集成学习模型；

检测模块，根据所述并行集成学习模型对安卓恶意应用进行检测。

7.根据权利要求6所述的基于并行集成学习的安卓恶意应用检测系统，其特征在于，所述静态行为特征包括基于平台定义的静态行为特征和应用独立的静态行为特征，所述过滤模块包括：

第一提取模块，用于采用信息增益算法对应用独立的静态行为特征进行筛选；

第二提取模块，用于采用基于使用频次的特征选择算法对基于平台定义的静态行为特征进行筛选；

其中，所述基于平台定义的静态行为特征包括请求的权限、硬件信息、API调用、受保护的API、使用的权限、源码模式和负载信息，应用独立的静态行为特征包括应用组件、Intents、认证信息和字符串。