[发明专利]一种基于并行集成学习的安卓恶意应用检测方法及系统

说明书

本发明公开了一种基于并行集成学习的安卓恶意应用检测方法及其系统，该方法包括通过对待检测安卓应用进行逆向工程获取所述待检测安卓应用的源码文件和配置文件，并从所述源码文件和配置文件中提取静态行为特征；对静态行为特征进行筛选；根据筛选后的静态行为特征构建行为特征向量；根据所述行为特征向量和机器学习算法构建并行集成学习模型以及根据所述并行集成学习模型对安卓恶意应用进行检测。本发明提供的系统包括：提取模块、过滤模块、第一处理模块、第二处理模块和检测模块。本发明提供方法和系统，通过全面提取静态行为特征以及对静态行为特征进行筛选以及构建并行集成学习模型能够全面、高效、准确的对安卓恶意应用进行检测。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于并行集成学习的安卓恶意应用检测方法及其系统。

背景技术

安卓平台及其应用凭借着功能多样、使用灵活等特点逐渐取代PC成为人们日常工作、生活、娱乐首选的电子设备。然而，由于安卓智能手机上存储了大量的用户隐私数据，比如机密文档、联系人信息、银行卡账户等，以及安卓平台的开源性，使得制造恶意应用的技术门槛降低，安卓恶意应用的数量急剧增长，类型也呈多样化。全球领先的网络安全公司McAfee(迈克菲)2017年11月公布的《McAfee实验室威胁报告》中显示上一年有超过1200万Android恶意样本，包括250万新的恶意样本被检测出来。360烽火实验室在《2017年安卓恶意软件专题报告》中指出2017年全年网络安全中心新增收录757.3万个安卓恶意程序，平均每天出现2.1万个恶意样本。虽然相比2016年的1403.3万恶意软件下降了46.0％，但安卓设备感染恶意应用数目庞大，不容小觑。安卓恶意应用通过一些恶意行为、比如隐私信息窃取、恶意扣费、流氓行为等，给政府、企业、个人用户带来危害，甚至会造成巨大的经济损失。已有的研究工作为安卓恶意应用检测奠定了坚实的基础，然而在具体的模型应用中，大多数研究往往集中于使用单类型行为特征对安卓恶意应用进行分析和检测，或者仅考虑使用几种静态行为特征结合进行分析，缺乏全面的、有效的分析，导致检测准确率不高。同时，一些研究工作虽然使用了动态行为特征结合的安卓恶意应用检测方法，但是动态行为特征的获取需要消耗大量的时间，精力，存在一定的困难。

发明内容

为解决上述技术问题，本发明的目的在于提供一种能够全面、高效、准确的安卓恶意应用的检测方法。

第一方面，本发明实施例提供一种基于并行集成学习的安卓恶意应用检测方法，包括：

通过对待检测安卓应用进行逆向工程获取所述待检测安卓应用的源码文件和配置文件，并从所述源码文件和配置文件中提取静态行为特征；

对静态行为特征进行筛选；

根据筛选后的静态行为特征构建行为特征向量；

根据所述行为特征向量和机器学习算法构建并行集成学习模型；

根据所述并行集成学习模型对安卓恶意应用进行检测。

优选的，所述静态行为特征包括基于平台定义的静态行为特征和应用独立的静态行为特征，所述对静态行为特征进行筛选的步骤包括：

采用信息增益算法对应用独立的静态行为特征进行筛选；

采用基于使用频次的特征选择算法对基于平台定义的静态行为特征进行筛选；

其中，所述基于平台定义的静态行为特征包括请求的权限、硬件信息、API调用、受保护的API、使用的权限、源码模式和负载信息，应用独立的静态行为特征包括应用组件、Intents、认证信息和字符串。

优选的，所述根据筛选后的静态行为特征构建行为特征向量的步骤，包括:

将所述每个筛选后的静态行为特征作为一个维度加入到特征向量中，如果待检测安卓应用具备所述筛选后的静态行为特征，则所述特征向量中的对应位置置1，反之置0；