基于多特征的Android惡意軟件檢測(cè)算法的比較分析.pdf

1、近幾年，智能手機(jī)與平板電腦的迅速普及，使得越來(lái)越多的黑客將攻擊目標(biāo)從PC端轉(zhuǎn)移到移動(dòng)設(shè)備端?；贏ndroid系統(tǒng)的智能設(shè)備市場(chǎng)占有率不斷擴(kuò)大，其受到惡意攻擊的可能性急劇上升。因此，研究有效的Android惡意軟件檢測(cè)方法變得十分重要。
　　現(xiàn)有Android惡意軟件檢測(cè)方法大多采用基于簽名的檢測(cè)方式，這種檢測(cè)方式迅速但只能檢測(cè)已知的惡意軟件?；跈C(jī)器學(xué)習(xí)的檢測(cè)方式能檢測(cè)出未知的惡意軟件，但會(huì)隨著特征集、特征選擇算法以及分類(lèi)算法的

2、不同而產(chǎn)生不同的分類(lèi)檢測(cè)結(jié)果。那么采用什么樣的特征集、特征選擇算法與分類(lèi)算法能得到較精確的檢測(cè)結(jié)果？除了常用的機(jī)器學(xué)習(xí)算法以外還有哪些算法適用于Android惡意軟件檢測(cè)？如何將這些算法更好地組織成一個(gè)更高效的Android惡意軟件檢測(cè)系統(tǒng)？針對(duì)這些問(wèn)題，本文深入研究了Android安全機(jī)制與安全漏洞，對(duì)國(guó)內(nèi)外研究現(xiàn)狀進(jìn)行歸納總結(jié)，給出了一個(gè)更為準(zhǔn)確高效的Android惡意軟件檢測(cè)原型系統(tǒng)，回答了上述問(wèn)題。本文的主要貢獻(xiàn)如下:
　

3、　首先，本文研究了Android惡意軟件的特征提取與特征選擇。本文先采集了惡意軟件與良性軟件樣本，然后利用靜態(tài)檢測(cè)技術(shù)提取出Android安裝包(APK文件)的多種特征，最后本文采用信息增益算法和改進(jìn)的GA算法(簡(jiǎn)稱(chēng)CSF-GA)進(jìn)行特征選擇，并將篩選后的多特征集作為樣本特征。本文選取隨機(jī)森林等5種機(jī)器學(xué)習(xí)分類(lèi)算法對(duì)Android應(yīng)用進(jìn)行分類(lèi)檢測(cè)實(shí)驗(yàn)。實(shí)驗(yàn)證明，本文提出的多特征與CSF-GA組合能獲得最優(yōu)特征子集。所獲得的最優(yōu)特征子集與

4、隨機(jī)森林算法組合，能得到96.3％的準(zhǔn)確率。
　　其次，本文將獲取的最優(yōu)特征子集作為樣本特征，采用三種統(tǒng)計(jì)分析判別算法進(jìn)行Android惡意軟件檢測(cè)。實(shí)驗(yàn)結(jié)果表明:判別分析算法在Android惡意軟件檢測(cè)上的準(zhǔn)確率可以達(dá)到93％以上。本文從檢測(cè)效果、運(yùn)行時(shí)間、運(yùn)行消耗內(nèi)存等三個(gè)角度對(duì)機(jī)器學(xué)習(xí)分類(lèi)算法與統(tǒng)計(jì)分析中判別分析算法進(jìn)行了比較分析。通過(guò)比較分析得到結(jié)論:在不考慮運(yùn)行時(shí)間與運(yùn)行消耗內(nèi)存情況下，結(jié)合最優(yōu)特征子集，隨機(jī)森林算法能得

5、到最高準(zhǔn)確率。當(dāng)同時(shí)考慮檢測(cè)效果、運(yùn)行時(shí)間、運(yùn)行消耗內(nèi)存等因素，F(xiàn)isher判別分析算法表現(xiàn)更優(yōu)。
　　最后，采用上述結(jié)論提出并實(shí)現(xiàn)了一個(gè)基于多特征的Android惡意軟件檢測(cè)原型系統(tǒng)。系統(tǒng)包含客戶端檢測(cè)程序與云端檢測(cè)程序，其中客戶端檢測(cè)程序運(yùn)行在Android設(shè)備上。在客戶端采用了Fisher判別分析檢測(cè)算法;云端接收客戶端上傳的應(yīng)用程序，采用隨機(jī)森林算法進(jìn)行分類(lèi)檢測(cè)。本文給出了各個(gè)模塊的詳細(xì)的設(shè)計(jì)與實(shí)現(xiàn)，并最終將該原型系統(tǒng)與國(guó)