[发明专利]基于SVM的Android恶意软件检测方法

摘要

本发明揭示了一种对于Android精确的恶意软件检测方法，通过贡献级别分类系统调用。不同于现有的使用全部系统调用构造特征向量来确定应用程序的安全性，首先引入了一个名为贡献的概念来定量评估系统调用与恶意软件标识的相关性。根据贡献水平，可以将系统调用分为两类，即确定的系统调用和正常的系统调用。用去除正常系统调用的策略对提取的特征进行降维处理，减少不确定性数据，并使用支持向量机SVM检测Android恶意软件。本发明该方法的应用，能使得模型训练时间缩短，并且检测未知恶意软件的准确率明显提高。

主权项

1.基于SVM的Android恶意软件检测方法，其特征在于包括步骤：获取系统调用序列：在安卓平台上运行程序，向程序发送数量级为千个的伪用户事件，并用strace跟踪获得与伪用户事件相对应的调用序列；分类系统调用序列：引入贡献度概念，按公式Ci=|(|Bi||\|B|)‑(|Mi|\|M|)|计算各系统调用序列中单独的系统调用的贡献值并以降序排列，并基于贡献值设定门槛分类确定的系统调用和正常的系统调用，其中|Bi|代表来自良性应用的系统调用序列的si的整体发生时间；|B|是所有来自良性应用的系统调用序列的数量；|Mi|是来自恶意软件的系统调用序列中si的总发生次数；|M|是来自恶意软件的所有系统调用序列的数目；降维：保留确定的系统调用，并映射到联合向量空间S，样本用向量表示；将样本与联合向量空间S对比得到一个由1、0组成的向量，并用哈希表或布隆过滤器建立并存储向量矩阵；识别恶意软件：选择径向基函数作为支持向量机的核函数，并确定分类选择的最佳参数组合，对恶意软件进行分类检测。