搜索

[642] 2018-07-14_基于异构信息网络的智能安卓恶意软件检测系统

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-07-14_基于异构信息网络的智能安卓恶意软件检测系统 基 于 异 构 信 息 网 络 的 智 能 安 卓 恶 意 软 件 检 测 系 统 A r k T e a m   2 0 1 8 - 0 7 - 1 4 作 者 ： { W J N } @ A r k T e a m 原 文 标 题 ： H i n D r o i d :   A n   I n t e l l i g e n t   A n d r o i d   M a l w a r e   D e t e c t i o n S y s t e m   B a s e d   o n   S t r u c t u r e d   H e t e r o g e n e o u s I n f o r m a t i o n   N e t w o r k 原 文 作 者 ： S h i f u   H o u ,   Y a n f a n g   Y e ,   Y a n g q i u   S o n g ,   M e l i h A b d u l h a y o g l u 原 文 出 处 ： K D D ’ 1 7 ,   D O I :   1 0 . 1 1 4 5 / 3 0 9 7 9 8 3 . 3 0 9 8 0 2 6 随 着 A n d r o i d 恶 意 软 件 的 爆 炸 性 增 长 以 及 对 智 能 手 机 用 户 的 严 重 损 害 ， A n d r o i d 恶 意 软 件 的 检 测 在 网 络 安 全 中 变 得 越 来 越 重 要 。 在 论 文 中 ， 作 者 进 一 步 分 析 被 调 用 A P I 之 间 的 不 同 关 系 并 创 建 更 高 级 别 的 语 义 ， 来 替 代 之 前 仅 分 析 A P I 调 用 来 进 行 恶 意 软 件 检 测 的 方 法 ， 使 得 规 避 检 测 的 代 价 大 幅 增 加 。 图 1 显 示 了 我 们 开 发 的 A n d r o i d 恶 意 软 件 检 测 系 统 H i n D r o i d 的 系 统 概 述 ， 该 系 统 由 以 下 五 个 主 要 组 件 组 成 ， 具 体 流 程 如 下 ： 第 一 步 ， 通 过 U n z i p p e r 和 D e c o m p i l e r 模 块 解 压 缩 A P K 并 将 d e x 文 件 反 编 译 为 s m a l i 代 码 。 第 二 步 ， 通 过 F e a t u r e   E x t r a c t o r 模 块 提 取 完 整 的 A n d r o i d   A P I 调 用 列 表 ， 并 进 一 步 分 析 提 取 的 A P I 调 用 之 间 调 用 之 间 的 关 系 。 的 关 系 。 第 三 步 ， 利 用 异 构 信 息 网 络 （ 异 构 信 息 网 络 （ H e t e r o g e n e o u s   I n f o r m a t i o n N e t w o r k ， ， H I N ） ） 构 造 模 块 基 于 先 前 组 件 提 取 的 关 系 特 征 构 造 H I N ， 形 成 代 表 不 同 元 路 径 的 可 交 换 矩 阵 。 第 四 步 ， 使 用 标 准 多 核 学 习 （ 多 核 学 习 （ M u l t i p l e   K e r n e l   L e a r n i n g ， ， M K L ） ） 1 ， 优 化 不 同 元 路 径 的 权 重 ， 组 合 不 同 的 可 交 换 矩 阵 以 形 成 用 于 A n d r o i d 恶 意 软 件 检 测 的 更 强 大 的 核 函 数 。 第 五 步 ， 恶 意 软 件 检 测 模 块 ， 对 于 每 个 新 收 集 的 未 知 的 A n d r o i d 应 用 程 序 ， 经 过 一 系 列 预 处 理 得 到 其 A P I 调 用 及 相 互 关 系 后 ， 使 用 构 建 的 分 类 模 型 ， 判 断 该 应 用 程 序 为 良 性 或 恶 意 。 图 1   H i n D r o i d 系 统 架 构 图 ， 共 有 五 个 主 要 模 块 下 面 将 分 三 个 部 分 依 次 介 绍 原 文 用 到 的 主 要 技 术 手 段 一 、 A P I 调 用 之 间 的 关 系 分 析 虽 然 A P I 调 用 可 用 于 表 示 A n d r o i d 应 用 程 序 的 行 为 ， 但 它 们 之 间 的 关 系 可 能 意 味 着 恶 意 软 件 检 测 的 重 要 信
息 ， 因 此 原 文 选 择 以 下 三 种 A P I 关 系 作 为 分 析 的 依 据 （ 表 1 ） ： R 1 — 两 个 A P I 同 在 一 个 代 码 块 2 ： 用 矩 阵 B 表 示 ， B i , j   = 1 表 示 A P I i 和 A P I j 在 同 一 个 代 码 块 ， 否 则 B i , j   =   0 ； 理 由 ： 尽 管 在 良 性 应 用 程 序 中 单 独 使 用 某 些 A P I 可 能 很 常 见 ， 但 它 们 在 转 换 的 s m a l i 代 码 的 相 同 方 法 中 很 少 共 同 出 现 在 良 性 文 件 中 。 R 2 — 两 个 A P I 同 属 于 一 个 包 ： 用 矩 阵 P 表 示 ， P i , j   = 1 表 示 A P I i 和 A P I j 属 于 同 一 个 包 ， 否 则 P i , j   = 0 ； 理 由 ： 同 一 个 包 的 A P I 调 用 始 终 显 示 类 似 的 意 图 R 3 — 两 个 A P I 有 同 样 的 调 用 方 法 ： 用 矩 阵 I 表 示 ， I i , j   = 1 表 示 A P I i 和 A P I j 以 同 样 的 方 式 被 调 用 ， 否 则 I i , j   = 0 ； 理 由 ： 相 同 的 调 用 方 法 可 以 显 示 A P I 调 用 的 公 共 属 性 ， 因 此 使 用 相 同 调 用 方 法 的 两 个 A P I 调 用 可 以 指 示 它 们 之 间 的 特 定 隐 式 关 系 表 1   关 系 矩 阵 及 其 元 素 含 义 描 述 二 、 异 构 信 息 网 络 ( H I N ) 构 造 1 .   H I N 定 义 信 息 网 络 可 以 用 一 个 有 向 图 G   =   ( V ,   E )   来 表 示 ， 其 中 V 代 表   O b j e c t ， E 代 表 E d g e 。 并 且 用 映 射 函 数   ϕ   :   V →   A   来 表 示 每 一 个 o b j e c t   v   ∈   V   属 于 o b j e c t 类 型 集 合 A : ϕ ( v )   ∈   A ， 用 映 射 函 数 ψ   :   E   →   R 表 示 每 条 边   e   ∈   E 属 于 边 的 类 型 集 合 R :   ψ ( e )   ∈   R 。 如 果 | A |   >   1   或 者   | R |   >   1   ， 则 该 信 息 网 络 即 为 异 构 信 息 网 络 。 简 单 来 说 ， H I N 就 是 拥 有 两 种 以 上 节 点 类 型 或 是 两 种 以 上 关 系 类 型 的 有 向 图 。 图 2 为 原 文 背 景 下 形 成 的 H I N 图 2   在 H i n D r o i d 中 ， 有 两 种 实 体 类 型 ， 即 A n d r o i d 应 用 和 A P I 调 用 。 存 在 四 种 类 型 的 关 系 ， 例 如 ， 包 含 A P I 调 用 的 a p p ( A ) ， 在 相 同 代 码 块 中 的 A P I 调 用 ( R 1 ) ， 具 有 相 同 包 名 称 的 A P I 调 用 ( R 2 ) ， 以 及 具 有 相 同 调 用 类 型 的 A P I 调 用 ( R 3 ) 。 2 .   元 路 径 在 H I N 的 概 念 中 使 用 元 路 径 来 形 成 实 体 之 间 的 高 阶 关 系 的 语 义 ,   从 而 能 够 使 用 机 器 可 读 的 表 示 来 丰
富 A P I 之 间 相 似 性 的 语 义 。 简 单 来 说 ， 元 路 径 就 是 从 一 个 实 体 到 另 一 个 实 体 之 间 的 连 续 关 系 的 集 合 。 一 个 实 体 可 以 通 过 “ 元 路 径 ” 最 终 联 系 到 另 一 个 实 体 。 在 原 文 背 景 下 的 元 路 径 举 例 如 下 图 3 ： 图 3   A A T 表 示 两 个 A P P 存 在 相 同 的 A P I 调 用   A B A T 表 示 A P P 1 调 用 的 A P I 1 和 A P P 2 调 用 的 A P I 2 属 于 同 一 代 码 块 A P A T 表 示 A P P 1 调 用 的 A P I 1 和 A P P 2 调 用 的 A P I 2 来 自 同 一 包   A I A T 表 示 A P P 1 调 用 的 A P I 1 和 A P P 2 调 用 的 A P I 2 有 同 样 的 调 用 方 式 元 路 径 长 度 不 限 ， 同 时 可 以 有 多 个 A P I 调 用 满 足 某 一 具 体 的 元 路 径 约 束 。 因 此 ， 我 们 使 用 可 交 换 矩 阵 来 给 出 使 用 特 定 元 路 径 计 算 实 体 相 似 性 的 一 般 形 式 。   三 、 多 核 学 习 ( M K L ) 给 定 具 有 不 同 类 型 的 实 体 和 关 系 的 网 络 模 式 ， 我 们 可 以 枚 举 许 多 元 路 径 。 但 是 ， 并 非 所 有 元 路 径 都 对 特 定 的 A n d r o i d 恶 意 软 件 检 测 问 题 有 用 。 这 里 我 们 只 考 虑 对 称 元 路 径 ， 因 为 我 们 只 关 注 应 用 程 序 的 相 似 性 传 统 的 S V M 都 是 单 核 的 ， 在 使 用 的 时 候 ， 需 要 根 据 经 验 或 试 验 来 选 择 用 哪 种 核 函 数 、 怎 样 指 定 它 的 参 数 ， 这 样 很 不 方 便 。 在 本 文 中 ， 我 们 的 特 征 （ 元 路 径 ） 是 异 构 的 ， 因 此 可 以 使 用 多 核 学 习 算 法 自 动 合 并 不 同 的 相 似 性 并 在 分 类 应 用 时 确 定 每 个 元 路 径 的 权 重 ， 如 图 3 。 图 3   多 核 学 习 框 架 假 设 我 们 有 K 个 元 路 径 ( k   =   1 , … , K ) ， 我 们 可 以 计 算 相 应 的 可 交 换 矩 阵 ( k   =   1 , … , K ) ， 其 中 即 为 核 函 数 。 最 终 使 用 已 获 得 的 核 函 数 的 线 性 组 合 来 形 成 一 个 新 核 函 数 ：
其 中 为 可 交 换 矩 阵 （ 核 函 数 ） 的 权 重 （ 利 用 L a p l a c i a n 分 数 3 确 定 ） 。 为 了 学 习 每 个 元 路 径 的 权 重 ， 我 们 假 设 我 们 有 一 组 标 记 数 据 ， 其 中 x i 是 a p p （ 这 里 我 们 可 以 将 x i 视 为 I D ） ， 是 标 签 。 然 后 我 们 使 用 p - n o r m 多 核 学 习 框 架 和 以 下 目 标 函 数 来 学 习 参 数 w k 对 于 每 一 个 数 据 ， 引 入 松 弛 参 数 ， 以 允 许 误 分 类 情 况 是 特 征 在 H i l b e r t 空 间 4 的 非 线 性 映 射 ， 作 为 核 函 数 ， 其 中 最 终 对 于 一 个 未 知 的 A P P   x 来 说 ， 可 以 用 （ 类 似 S V M ） 来 评 估 其 是 否 为 恶 意 A P P 。   在 原 文 的 最 后 作 者 使 用 从 C o m o d o 云 安 全 中 心 获 得 的 真 实 样 本 集 进 行 了 四 组 实 验 ， 以 全 面 评 估 A n d r o i d 恶 意 软 件 检 测 系 统 H i n D r o i d 的 性 能 。 实 验 结 果 表 明 H i n D r o i d 不 但 能 够 减 少 特 征 工 程 的 工 作 ， 还 能 够 显 著 提 高 安 卓 恶 意 软 件 的 检 测 性 能 。 在 大 规 模 真 实 数 据 集 上 检 测 的 平 均 正 确 率 也 达 到 了 0 . 9 8 3 3 。   注 ： 1 、 多 核 模 型 是 一 类 灵 活 性 更 强 的 基 于 核 的 学 习 模 型 ,   在 多 核 框 架 下 ,   样 本 在 特 征 空 间 中 的 表 示 问 题 转 化 成 为 基 本 核 与 权 系 数 的 选 择 问 题 2 、 本 文 中 代 码 块 定 义 为 s m a l i 文 件 中 “ : m e t h o d ” 和 “ : e n d m e t h o d ” 之 间 的 代 码 ， 它 反 映 了 A P I 调 用 之 间 的 结 构 信 息 3 、 L a p l a c i a n 分 数 ， 基 于 拉 普 拉 斯 特 征 图 和 局 部 保 持 投 影 。 L a p l a c i a n   S c o r e 算 法 可 以 有 效 的 提 取 出 那 些 体 现 数 据 潜 在 流 形 结 构 的 特 征 。 详 情 请 参 考 h t t p : / / w w w . c a d . z j u . e d u . c n / h o m e / d e n g c a i / P u b l i c a t i o n / C o n f e r e n c e / 2 0 0 5 _ N I P S _ L a p l a c i a n S c o r e . p d f 4 、 希 尔 伯 特 空 间 是 欧 几 里 德 空 间 的 一 个 推 广 ， 其 不 再 局 限 于 有 限 维 的 情 形 ， 是 一 个 完 备 的 内 积 空 间 。 当 样 本 在 原 特 征 空 间 中 线 性 不 可 分 ， 即 找 不 到 一 个 足 够 好 的 超 平 面 时 ， S V M 便 是 利 用 核 （ k e r n e l ） 函 数 ， 将 特 征 映 射 到 希 尔 伯 特 （ H i l b e r t ） 空 间 。 后 者 一 般 维 度 更 高 ， 通 过 这 样 的 映 射 之 后 ， 样 本 在 新 的 特 征 空 间 中 便 是 线 性 可 分 的 了 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理