论文部分内容阅读
移动互联网的发展和Android系统的广泛应用,使得Android应用成为攻击者关注和实施攻击的重要目标之一。传统的恶意软件分析方法或者采用软件动静态分析技术对整个应用进行测试;或者采用机器学习方法对应用进行分类。然而,恶意Android应用为了隐藏自己并获取利益的最大化,通常采用各种伪装手段,将其恶意行为隐藏于合法的应用功能之中,从而使得传统的软件分析和机器学习方法难以识别和捕捉其恶意行为。针对以上问题,本文在深入研究Android系统特点与恶意应用行为特征的基础上,采用软件分析技术对Android应用行为进行分析与刻画,力图揭示能够真实反映应用意图和功能的应用行为模式,并利用深度学习模型的特征自学习能力实现Android应用行为的分类。基于此提出了一种基于深度学习的Android应用行为分类方法。该方法从代码执行层面对Android应用中行为模式进行分析与抽取,并将Android应用行为分类问题转换为文本分析问题,进而利用深度学习模型实现Android应用行为的分类与恶意应用行为的检测。论文的主要工作如下:(1)研究Android系统架构与安全机制,深入分析Android应用的编程模型以及恶意应用的行为表现与运行机理;研究分析卷积神经网络等深度学习模型的特点与原理,并基于此提出了利用深度学习模型实现Android应用行为分类与恶意性分析的基本思想。(2)提出了一种Android应用安全敏感行为路径分析与抽取方法。Android应用的行为路径能够准确反映应用的意图和功能,因而对Android应用安全敏感行为路径的分析能够全面地获得与应用安全相关的上下文信息,同时排除不相关信息的干扰。在充分考虑Android应用组件间调用和异步事件调用的基础上,利用软件逆向分析技术,从安全敏感系统调用出发,构建应用安全敏感行为相关的行为路径,能够在实现Android应用安全相关行为精确描述的同时,提高分析的效率。(3)提出了一种基于深度学习的Android应用行为分类方法。将机器学习方法应用于Android应用行为分类问题中,面临着大样本类别标定问题。而卷积神经网络具有特征自动学习能力,通过将应用行为分类问题转换为文本分析问题,可以利用深度学习模型实现Android应用行为的自动学习和分类,有效提高应用行为分类的精度。(4)设计实现了一个基于应用行为分析的Android应用恶意性检测原型系统。针对Android应用恶意性检测需求,采用安全敏感行为路径分析与抽取方法以及基于深度学习的应用行为分类方法,Android应用恶意性检测原型系统可以有效实现Android恶意应用的分析与识别,具有较高的检测精度与效率。