推荐星级：
- 1
- 2
- 3
- 4
- 5
基于卡方检验的Android恶意应用检测方法
资料介绍
移动终端爆发式增长造成了恶意应用的大量出现,给用户的隐私安全和财产安全带来了巨大的危害.为提高Android应用恶意性检测的准确性,本文将卡方检验与基尼不纯度增量相结合获取更有价值的特征属性;并改进朴素贝叶斯算法提高Android应用恶意性判断的准确性.实验结果表明:新的特征处理方法能够有效提高检测性能;同时,改进后的朴素贝叶斯算法相比原始算法而言准确率有较大的提升.
部分文件列表
| 文件名 | 大小 |
| 基于卡方检验的Android恶意应用检测方法.pdf | 1009K |
部分页面预览
（完整内容请下载后查看）第
卷
第
期
北 京 理 工 大 学 学 报
３９
３
Ｖｏｌ．３９ Ｎｏ．３
ꢀ
ꢀ
ꢀꢀ
年
月
２０１９
３
ＴｒａｎｓａｃｔｉｏｎｓｏｆＢｅｉｉｎ ＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈｎｏｌｏ
ꢀ ꢀ ｊ ｇ ꢀ ꢀ
ｇｙ
ꢀ
Ｍａｒ．２０１９
基于卡方检验的
恶意应用检测方法
Ａｎｄｒｏｉｄ
，
１２
１
，
王志海
３
，
李经纬
３
，
赵烜 文伟平
３
，
刘亚姝
ꢀ
ꢀ
ꢀ
ꢀ
（ ，
北京交通大学 计算机与信息技术学院 北京
１．
；
１０００４４２．
北京建筑大学 电气与
ꢀ
，
信息工程学院 北京
；
，
北京大学 软件与微电子学院 北京
１０００４４３．
）
１０２６００
ꢀ
ꢀ
： ，
移动终端爆发式增长造成了恶意应用的大量出现 给用户的隐私安全和财产安全带来了巨大的危害
摘
要
为
．
ꢀ
， ；
应用恶意性检测的准确性 本文将卡方检验与基尼不纯度增量相结合获取更有价值的特征属性 并
提高
Ａｎｄｒｏｉｄ
：
应用恶意性判断的准确性 实验结果表明 新的特征处理方法能够有效提高检
．
改进朴素贝叶斯算法提高
Ａｎｄｒｏｉｄ
； ，
测性能 同时 改进后的朴素贝叶斯算法相比原始算法而言准确率有较大的提升
．
： ； ； ；
关键词 恶意软件 安卓 卡方检验 朴素贝叶斯
：
：
Ａ
：
文章编号
１００１０６４５２０１９０３０２９００５
ꢀꢀꢀ
（
）
中图分类号
文献标志码
ＴＰ３０９．５
ꢀꢀꢀ
－
－
－
：
／
ＤＯＩ １０．１５９１８ ．ｔｂｉｔ１００１０６４５．２０１９．０３．０１１
ｊ
ꢀ
－
ＡｎＡｎｄｒｏｉｄＭａｌｗａｒｅＤｅｔｅｃｔｉｏｎＭｅｔｈｏｄＢａｓｅｄｏｎＣｈｉＳｕａｒｅｄＴｅｓｔ
ꢀ ꢀ ꢀ ꢀ ꢀ ꢀ
ꢀ
ꢀ
－ ｑ
，
１２
１
３
３
３
，
，
ＷＡＮＧＺｈｉｈａｉ
ꢀ
，
，
ＺＨＡＯＸｕａｎ
ꢀ
ＬＩＵ Ｙａｓｈｕ
ꢀ －
ＬＩＪｉｎ ｗｅｉ
ꢀ ｇ－
ＷＥＮ Ｗｅｉ ｉｎ
ꢀ －
ｐ ｇ
ꢀ
ꢀ
－
ꢀ
ꢀ
ꢀ
ꢀ
（
，
，
，
Ｂｅｉｉｎ Ｊｉａｏｔｏｎ Ｕｎｉｖｅｒｓｉｔ Ｂｅｉｉｎ １０００４４
ｊ ｇ ｊ ｇ
１．ＳｃｈｏｏｌｏｆＣｏｍ ｕｔｅｒａｎｄＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏ
ꢀ ꢀ ꢀ ꢀ ꢀ
ｐ ｇｙ
ｇ
ꢀ
ｙ
ꢀ
ꢀ
；
Ｃｈｉｎａ ２．ＳｃｈｏｏｌｏｆＥｌｅｃｔｒｉｃａｌａｎｄＩｎｆｏｒｍａｔｉｏｎＥｎｉｎｅｅｒｉｎ Ｂｅｉｉｎ Ｕｎｉｖｅｒｓｉｔ ｏｆＣｉｖｉｌＥｎｉｎｅｅｒｉｎ
ꢀ ꢀ ꢀ ｇ ꢀ ｇ
ｊ ｇ ｇ
，
ｇ
ꢀ
ꢀ
ｙ
ꢀ
ꢀ
ꢀ
，
，
；
ａｎｄＡｒｃｈｉｔｅｃｔｕｒｅ Ｂｅｉｉｎ １０００４４ Ｃｈｉｎａ ３．ＳｃｈｏｏｌｏｆＥｌｅｃｔｒｏｎｉｃｓＥｎｉｎｅｅｒｉｎ ａｎｄＣｏｍ ｕｔｅｒ
ｊ ｇ
ꢀ ꢀ ꢀ ｇ
ꢀ
ｇ
ꢀ
ꢀ
ｐ
ꢀ
，
，
，
）
Ｓｃｉｅｎｃｅ Ｐｅｋｉｎ Ｕｎｉｖｅｒｓｉｔ Ｂｅｉｉｎ １０２６００ Ｃｈｉｎａ
ｊ ｇ
ｇ
ꢀ
ｙ
ꢀ
：
Ａｂｓｔｒａｃｔ Ｔｈｅｅｘｌｏｓｉｖｅ ｒｏｗｔｈｏｆｍｏｂｉｌｅｔｅｒｍｉｎａｌｓｈａｓ ｒｏｄｕｃｅｄｅｎｄｌｅｓｓｍａｌｉｃｉｏｕｓａ ｌｉｃａｔｉｏｎｓ
ꢀ ｐ ꢀｇ ꢀ ꢀ ꢀｐ ꢀｐｐ
，
ꢀ
ꢀ
ꢀ
ꢀ
，
ｂｒｉｎ ｏｎ ｒｅａｔｈａｒｍｔｏｔｈｅｓｅｃｕｒｉｔ ｏｆｕｓｅｒｓ＇ ｒｉｖａｃ ａｎｄ ｒｏｅｒｔ ．Ｔｏｓｏｌｖｅｔｈｉｓ ｒｏｂｌｅｍ ａ
ꢀｇ ꢀ ꢀ ꢀｐ ｐ ꢀｐ
ｇ
ꢀ
ꢀ
ꢀ
ｙ
ꢀ
ꢀ
ｐ
ｙ
ꢀ
ｙ
ꢀ
ꢀ
ｍｅｔｈｏｄｂａｓｅｄｏｎｃｈｉｓｕａｒｅｄｔｅｓｔａｎｄＧｉｎｉｉｍ ｕｒｉｔ ｉｎｃｒｅｍｅｎｔｗａｓ ｒｏｏｓｅｄｆｏｒｍｏｒｅｖａｌｕａｂｌｅ
ꢀ ꢀ ꢀ ꢀ ꢀ ꢀ ｐ ꢀ ꢀｐ ｐ ꢀ
ꢀ
－
ｑ
ｙ
ꢀ
ꢀ
ꢀ
，
ｆｅａｔｕｒｅｓｅｘｔｒａｃｔｉｏｎａｎｄｔｈｅＮａｖｅＢａｅｓａｌｏｒｉｔｈｍｉｍ ｒｏｖｅｍｅｎｔ ｓｏａｓｔｏｉｍ ｒｏｖｅｔｈｅｅｓｔｉｍａｔｉｏｎ
ꢀ ｙ ꢀ ｇ ꢀ ｐ ꢀ ꢀ ꢀ ｐ
ꢀ
ꢀ
ꢀ
ꢀ
ꢀ ꢀ
ａｃｃｕｒａｃ ｏｆ Ａｎｄｒｏｉｄ ｍａｌｅｖｏｌｅｎｃｅａ ｌｉｃａｔｉｏｎｓ．Ｔｅｓｔｓｈｏｗｓｔｈａｔｔｈｅｎｅｗ ｆｅａｔｕｒｅｓ ｒｏｃｅｓｓｉｎ
ꢀ ꢀｐｐ ꢀ ꢀ ꢀ ꢀ ꢀｐ
ｇ
ｙ
ꢀ
ꢀ
ꢀ
，
ｍｅｔｈｏｄｃａｎｉｍ ｒｏｖｅｔｈｅｃｌａｓｓｉｆｉｃａｔｉｏｎ ｅｒｆｏｒｍａｎｃｅｏｆａｌｏｒｉｔｈｍｓ．Ａｔｔｈｅｓａｍｅｔｉｍｅ ｔｈｅｉｍ ｒｏｖｅｄ
ꢀ ꢀ ｐ ꢀ ꢀ ꢀｐ ꢀ ꢀ ｇ ꢀ ꢀ ꢀ ｐ
ꢀ
ＮａｖｅＢａｅｓａｌｏｒｉｔｈｍｃａｎａｃｈｉｅｖｅｈｉｈｅｒａｃｃｕｒａｃ ｔｈａｎｂｅｆｏｒｅ．
ｙ
ꢀ ｙ ꢀ ｇ ꢀ ꢀ ꢀ ｇ ꢀ ꢀ
ꢀ
：
；
；
Ｋｅ ｗｏｒｄｓ ｍａｌｗａｒｅ Ａｎｄｒｏｉｄ Ｃｈｉｓｕａｒｅｄｔｅｓｔ ＮａｖｅＢａｅｓ
ꢀ ｙ
；
－
ｑ
ꢀ
ｙ
ꢀ
［］
２
》
中显示
，
随着互联网行业的深入发展 移动互联网切实
告
年智能手机占所有移动网络感染
２０１７
，
其 中
ꢀꢀ
，
融入了日常生活工作中 但移动操作系统的开放生
的
手 机 感 染 率 高 达 到
６８％．
７２％
Ａｎｄｒｏｉｄ
，
态体系 使得终端安全和应用安全正遭受严峻考验
年由互联网应急中心捕获的移动系统平台上
．
２０１７
，
系统 开放性和数据的大规模流
，
万 余 个 同 比 增 长
特别对于
的恶意 程 序 样 本 数 量 为
Ａｎｄｒｏｉｄ
２５３
［］
１
，
２３．４％
，
其 中 面 向
动带来了大量的数据信息隐私安全等问题
平 台 的 约 达
．
Ａｎｄｒｏｉｄ
［］
３
，
，
这些数据说明 目前
． Ａｎｄｒｏｉｄ
据统计
平台上恶意程序的数量 总 体
平台已成
Ａｎｄｒｏｉｄ
９６．５５％
《
，
为最主要的攻击对象 因此有效的恶意应用检测技
一直呈上 升 趋 势 诺 基 亚
．
年 度 威 胁 情 报 报
２０１７
：
收稿日期
２０１８１０１８
－ －
ꢀꢀ
ꢀꢀ
：
基金项目 国家重点研发计划资助项目
（
）；
国家自然科学基金重点资助项目
（ ）；
国家自然科学基金面上资助
Ｕ１７３６２１８
２０１８ Ｙ ＦＢ０８０３６０４
（
）
项目
６１６７２０８６
：
作者简介 刘亚姝
（
—），
， ，
女 博士生
Ｅ ｍａｉｌｌｉｕａｓｈｕ ｂｕｃｅａ．ｅｄｕ．ｃｎ．
：
１９７７
ꢀꢀ
ꢀꢀ
－
ｙ
＠
：
通信作者 王志海
（
１９６３
—），
， ，
男 教授
Ｅ ｍａｉｌｚｈｈｗａｎ ｂｔｕ．ｅｄｕ．ｃｎ．
ｇ＠ ｊ
：
－
：
刘亚姝等 基于卡方检验的
第
期
恶意应用检测方法
３
Ａｎｄｒｏｉｄ
２９１
ꢀ ꢀ
ꢀ
２
ꢀ
（ ）
ａｄ ｂｃ Ｎ
－
２
术是非常必要的
．
（ ）
１
．
χ
＝
（
ａ
）（
）（
）（
）
ｄ
＋
［］
４
杨欢等 提出了基于
ｂ ｃ ｄ ａ ｃ ｂ
＋
＋
＋
、
组件特征 函数
Ａｎｄｒｏｉｄ
：、、、
ａｂｃｄ
式中
代表的是两个分类特征属性类别两
，
调用特征以及系统调用类特征的 层混合算法 以
３
；
Ｎ
两组合统计四格表中 个格子中样本的频数
４
为
， ；
此建立最优的分类器 实现恶意行为的判定 曾立鹍
，
总次数 即
、、、
频数之和
ａｂｃｄ
．
［］
５
等
通过汇编代码获得组件信息和敏感
调用
ＡＰＩ
、
签 名
“
一个式子中独立变量的数目称作该式的 自由
［］
６
，
；
图 并分 析 其 安 全 性 秦 中 元 等 利 用
ＡＰＩ
，
签名生成多级签名
”，
，
四格表的自由度为 利用式
１
（）
计算类别权限
１
度
、
Ｃｌａｓｓ
、
签名
签名
Ｍｅｔｈｏｄ
ＡＰＫ
，
的卡方值 查找卡方临界值表 自由度为 时检验
．
水准通常用
关的概率为
１
；
并通过签名检测
应用是否含有恶意行为
Ａｎｄｒｏｉｄ
，
作为阈值 即两个特征属性之间相
０．０５
［］
７
马锐等 提出基于粒子群优化算法的
应用
Ａｎｄｒｏｉｄ
，
将卡方值与临界值进行比较 若
９５％．
，
检测方法 能够提高测试用例生成效率和自动化率
；
，
卡方值大于临界值 则认为二者相关性大于
，
９５％
［］
８
等
应用
哈希函数 算 法 提 炼 字 符
ＤＪＢ
Ｖｅｎｕｏａｌ
ｇｐ
，
说明两个特征之间的联 系过高 可视 为冗 余特征
．
、 ，
串 形成特征码 通过 特征 码匹 配检 测应用 的恶意
，
为了去除关联性较高的冗余特征 本文采用基尼不
［］
９
；
、
通过权限信息 方法和类的信息构成
性
等
Ｚｈｅｎ
ｇ
纯度增量进行度量
．
综合特征码检测恶意应用
．
，
基尼指 数 是 一 种 数 据 不 纯 度 的 度 量 方 法 如
目前研究人员也陆续开发出一些
恶意
Ａｎｄｒｏｉｄ
是一个用来发现
漏洞的 项 目 但 是 它 仅 仅 警 告 可 能 存 在 的 漏
（）
所示
２
式
．
［
］
１０
，
应用检测工具 例如
ｔ
．
Ｃｏｍｄｒｏｉｄ
２
（ ）
ＧｉｎｉＤ
（ ）
２
１
－
．
ｐｉ
＝
，
∑
ｉ １
＝
ＡＰＰ
［ ］
１１
，
洞 并不 能 够 验 证 是 否 存 在 攻 击
；
ＤｒｏｉｄＣｈｅｃｋｅｒ
：
Ｄ
；
；
ｐ
式中
为数据集 为类别总 数 表示类 别 为
ｔ
ｉ
ｉ
（ ）
表示数据集
．ＧｉｎｉＤ
的样本占总数的概率
的基
Ｄ
特别之处 在 于 可 以 发 现
应 用 的
ＡｄｏｂｅＰｈｏｔｏｓｈｏ
ꢀ
ｐ
［ ］
１２
，
尼不纯度 与信息增益类似 可以定义如式
．
（）
所示
３
；
；
Ｒｉｓｋ
－
漏洞
Ｒａｎｋｅｒ
时就可将其识别出来 从而避免恶意软件进入用户
是 个 多 层 监 测 系 统
ＰｒｏｆｉｌｅＤｒｏｉｄ
［
］
１３
：
的基尼不纯度的增量
能在存在风险行为的应用还在应用商店
（ ）
ＧｉｎｉＡ
（ ）
ＧｉｎｉＤ
（ ） （ ）
ＧｉｎｉＤ Ａ ． ３
－
Δ
＝
－
，
［ ］
１４
：
（
ＧｉｎｉＤ－Ａ
）
为数据集
式中
确定
特征后的基
Ａ
Ｄ
；
的手机
是一款
动态污点分
Ｔａｉｎｔｄｒｏｉｄ
Ａｎｄｒｏｉｄ
；
Δ
（ ）
为
ＧｉｎｉＡ
尼不纯度
特征对应的基尼不纯度的
Ａ
，
析工具 但是目前仅能在
上使用
Ｄａｋｖｉｋ
．
，
增量 该值越大表明 特征对结果影响越大
Ａ
．
，
应用的安全问题 本
面对日益严重的
Ａｎｄｒｏｉｄ
，
因此 可以根据式
（） ，
的结果筛选特征 去除基
３
文提出了一种基于卡方检验和基尼不纯度增量相结
， ，
尼不纯度增量较小的特征 选择增量较大的特征 因
， ；
合的特征预处理方法 能够选择更有效的特征 提出
，
为该特征对于结果的影响较大 将有助于分类检测
．
，
了基于卡方值加权属性改进的朴素贝叶斯算法 设
计并实现一种基于卡方检验的 恶意应用检
Ａｎｄｒｏｉｄ
改进的朴素贝叶斯算法
１．２
ꢀ
朴素贝叶斯模型是 一个有 监 督 学习 的分 类模
， 、
测工具 能够快速 有效地检测出恶意应用
．
，
型 其基本原理是根据贝叶斯公式计算样本类别的
，
后验概率 选择后验概率大的类别作为该样本的类
基本原理
１
ꢀ
别
贝叶斯分 类算法 非 常 适 合 用 来 过 滤 大 量 的 样
．
特征筛选
１．１
ꢀ
，
本 因为它一旦经过训练就可以相对较快地执行分
（
）
是一种统计量的分
卡方检验
Ｃｈｉｓｕａｒｅｄｔｅｓｔ
ｑ
－ ꢀ
、
类 计算开销较低
．
布在零假设成立时近似服从卡方分布的假设检验
．
（ ， ，…， ），
个 属 性
ｎ
假设有
个 类 别
ｍ
Ｃ Ｃ Ｃ
Ｃ
ｍ
１
２
其根本思想是比较两个样本率和两个分 类变量的
（ ， ，…， ），
计算训练样本集中每个属性在各
Ｘ
ｎ
Ｘ Ｘ Ｘ
１
２
，
关联性 因此 可以通过计算两个分类变量的卡方
．
，
个类别下的概率 即
（
Ｐ Ｘ Ｃ Ｐ Ｘ Ｃ
｜
）， （
ｉ
），…， （
Ｐ Ｘ
｜
ｎ
｜
１
２
ｉ
，
值判断分类变量之间的关联性 卡方值越大 说明
．
），
简写为
Ｃ
ｉ
（
Ｐ Ｘ Ｃ ．
ｉ
）
｜
， ；
两个分类变量之间的联系越大 独立性越低 反之
，
则根据贝叶斯定理 属性属于每个样本的后验
，
则说明两个分类变量间的联系越小 独立性越高
．
，
概率 如式
（）
所示
４
．
样本的两个特征在不同类别下的统计次数构成
（ ） （
Ｐ Ｃ Ｐ Ｘ
ｉ
）
Ｃ
｜
ｉ
（
Ｐ Ｃ
｜
ｉ
）
（ ）
４
Ｘ
．
＝
，
卡方检验四格表 四格卡方公式如式
（）
所示
１
（ ）
Ｐ Ｘ
．
相关下载
- 华为模块电源管理设计指导-(V100R001_02 Chi...
- 华为LGA模块PCB设计指导_V2.0_20150126.pdf
- HUAWEI Module USB Interface Descriptor Gui...
- HUAWEI ME909s-821 LTE LGA模块硬件指南V100R...
- HUAWEI ME909s-821 LTE LGA Module Acceptanc...
- HUAWEI 30 mm x 30 mm LGA Module Hardware M...
- HUAWEI 30 mm x 30 mm LGA Module Developmen...
- Altium_Designer_规则设置三例.pdf
- STM32F407产品技术培训-DSP库及其例程
- STM32F407产品技术培训-2.浮点单元.pdf
全部评论(0)