基于关联特征的贝叶斯Android恶意程序检测技术

第34卷第1期2017年1月计算机应用与软件Computer Applications and SoftwareVoL34 No.1Jan.2017基于关联特征的贝叶斯Android恶意程序检测技术王聪张仁斌李钢(合肥工业大学计算机与信息学院安徽合肥230009)摘要Android应用恶意性和它所申请的权限关系密切，针对目前恶意程序检测技术检出率不高，存在误报,缺乏对未知恶意程序检测等不足，为实现对Android平台恶意程序进行有效检测，提出了一种基于关联权限特征 的静态检测方法。

首先对获取的应用权限特征进行预处理，通过频繁模式挖掘算法构造关联特征集，然后采用冗 佘关联特征剔除算法对冗佘关联特征进行精简，最后通过计算互信息来进行特征筛选，获得最具分类能力的独立 特征空间，利用贝叶斯分类算法进行恶意程序的检测。

实验结果证明，在贝叶斯分类之前对特征进行处理具有较 强的有效性和可靠性，能够使Android恶意程序检出率稳定在92.1% ,误报率为8.3 % ,检测准确率为93.7 %。

关键词 贝叶斯分类安卓恶意检测关联特征特征选择中图分类号TP3 文献标识码A D0I ：10. 3969/j. issn. 1000-386x. 2017. 01.052BAYESIAN ANDROID MALWARE DETECTION TECHNOLOGY BASEDON THE FEATURES OF ASSOCIATIONW a n g Cong Zhang Renbin Li Gang{School of Computer and Information, Hefei University of Technology, Hefei 230009, Anhui, China )Abstract There i s a close relationship between the Android malware and the application ,s permissions,in view of the detection rate i s not high of current detection technology, the existence of false positives, and lack of detection of unknown malicious. A s tatic detection method based on the characteristics of associated permissions i s proposed to realize the effective detection of Android malware. First of all,the characteristics of the application permissions are preprocessed, and the permissions association dataset i s constructed by the frequent pattern mining algorithm,then the redundancy feature selection algorithm i s designed to simplify the redundancy, finally the feature selection i s carried out by Mutual information, independent feature spaces with the most ability to classify. The experimental results show that dealing with features has a better validity and reliability before Bayesian classification, the detection rate can be stable in 92. 1% , the false positive rate i s 8. 3% , the detection accuracy rate i s 93.7%.Keywords Bayesian classification Android Malware detection Associate features Feature selection〇引言面对Android平台上层出不穷的恶意应用，为了 有效改善智能终端缺少有效安全检测平台的现状，国内外研究人员进行了一系列的工作。

现阶段Android 平台恶意软件的主流分析技术包括静态分析[1]和动态 分析[2]两个方面。

E n c k等[3]提出了 Kirin工具，该工 具会对可能进行恶意行为的权限组合作出提示。

然而,E n c k的工作没有对权限组合与程序的恶意性之间 的关系进行实验验证,K m n工具所预设权限组合的可 靠性存在问题。

Z h o u等[4]提出了一种Android恶意代 码检测方法DroidRangei•，对恶意家族相关的敏感权限 进行统计，从而识别恶意应用。

但是由于缺少统一的 权限过滤规则和大量样本的实验验证,该方法也存在 其局限性。

检测工具AndroguarcP1采用基于特征码方 法，因为特征码涉及到特征库的更新问题，不能及时地 识别未知恶意程序。

张玉清等[6]对Android系统安全收稿日期:2015-12-16。

国家自然科学基金项目（61273237)。

王聪,硕士生，主研领域:计算机网络安全。

张仁斌，副教授。

李钢,教授。

第1期王聪等:基于关联特征的贝叶斯Android恶意程序检测技术287作了综述，从系统和应用两个层次进行阐述，特别对基 于权限机制的改进在安全加固方面的应用作了说明。

Google在Android4.2系统之后加入了应用验证服务 (Application Verification Service)，对恶意软件进行扫 描来防御潜在威胁，Jiang[7]对其进行了全面测试，检 测率只有15. 32%。

蔡泽廷[8]提出了一种基于机器学 习的Android恶意软件检测模型，训练静态指纹匹配 库和动态行为签名库，能在一定程度上检测未知恶意 程序，但是训练数据量太少，精度不高。

张思琪[9]提出 了一种基于改进贝叶斯分类的Android恶意软件检测 方法，利用移动设备应用程序获取的多种行为特征值，应用机器学习技术检测Android恶意软件。

该方法只 选取短信、G P S等六种行为特征集合，恶意行为的涉及 范围小。

诸姣等[1°]通过从应用市场获取的应用数据，采用信息检索和语义分析等技术对应用程序功能与权 限的语义关系进行了描述，并建立了关系模型。

秦中 元等™提出一种利用危险权限对比，根据提取消息摘 要的m d5进行匹配的检测方法，该方法没有对过度申 请的特征进行去干扰，并且没有特征处理，检测不够 精确。

除此，还有一些动态的检测方法。

Shabtai[12]实现 了一个基于主机的Android恶意程序检测系统，通过 动态监控设备运行的特征及事件，比如C P U使用、运 行的进程数量、电量等，运用机器学习算法进行分类，但是由于缺乏真实的恶意软件，检测能力不易评估。

E n c k等[13]实现了一种自动监控的方法，通过在Linux 底层中插入代码，利用发送和存储的数据信息情况自 动监控应用程序，但是该方法对系统的资源消耗严重，会导致系统运行不稳定甚至崩溃。

徐冰泉等[14]提出 了GrantDIoid，一种支持Android权限即时授予的方法。

通过拦截应用对所有权限的使用，采用一套恶意 程序权限使用特征对正常使用进行过滤，当存在威胁 权限请求时，提醒用户对该权限进行实时授权。

权限机制是Android安全机制的核心，应用程序 的权限与系统提供的A P I之间存在对应关系。

Felt 等[15]提出了一个S T O W A W A Y工具，并使用其对940 个Android应用进行分析统计，发现30%以上的应用 存在权限过度申请但未使用的情况。

人11等[16]提出了 PScout工具，该工具完成了 Android系统A P I与权限的 映射关系集合，可以利用该映射集判断应用是否存在 权限过度申请。

而针对多应用多权限间接提权攻击的 检测技术，也有些研究人员进行了一些探索。

文献 [17 ]将Android系统应用层权限扩展导致的攻击分为 混淆代理人攻击（Confused Deputy Attack)和共谋攻击 (Collusion Attack)。

文献[18]提出了一种用户实时授权的安全框架，使授权粒度得到了细化，但是无法对权 限提升导致的共谋攻击进行检测。

为了解决当前基于权限的检测方案中权限存在过 度申请，以及特征独立性处理的不完善等问题，本文使 用基于关联权限特征的静态分析方法。

最后，设计了 多组实验进行对比，相比之前基于权限的静态方法[1]以及基于动态的检测技术[2]，本方法在检测精度和处 理方法上都有明显优势。

1基于关联权限特征的贝叶斯恶意检测方案1.1整体框架Android系统采用了权限分离的机制，通过赋予不 同的权限来对应用程序的行为进行控制。

基于关联权 限特征的贝叶斯检测方案，充分利用了贝叶斯分类对 特征独立性的要求。

传统的机器学习分类方法忽略了 Android恶意程序的恶意性与权限组合之间的关系，认 为各个特征的分类能力是一样的，由此进行机器学习 产生的训练集会产生误判。

这种进行关联特征挖掘从而进行关联去冗余的特 征处理方法，通过挖掘将关联的特征组合进行绑定，真 正实现了特征之间的独立性，同时满足了贝叶斯分类 的要求。

该方案包含三个部分，特征提取、特征选择、机器学习和分类，整个检测框架图1所示。

图1基于关联特征及贝叶斯恶意程序检测框架1.2特征获取及预处理为了确保安全性和可靠性，Android应用程序在进 行权限申请时应该满足最小特权原则，但大部分应用 都存在权限过度申请的现象，给用户带来安全隐患，也 给本文的特征选择造成了干扰。

针对该问题，本文采取了一种通过对Android应 用安装文件A P K进行分析和修改，建立A P I权限映射 表，使其满足最小特权原则的方法。

通过设置一个权 限匹配阈值，判断该应用程序是否存在权限过度声明。

也就是首先通过解压A P K文件提取出程序所调用的288计算机应用与软件2017 年所有系统A PI,并在预先准备好的A P I权限映射表中 查找该A P I对用的系统权限，得到应用程序真正使用 到的最少权限表。