[发明专利]结合动态行为特征的Android未知恶意软件检测方法

权利要求书

1.结合动态行为特征的Android未知恶意软件检测方法，其特征在于所述方法包括如下步骤：

步骤1，将Android软件的apk包作为输入，提取其静态文件特征；

步骤2，使用基于LKM(Linux可加载内核模块)的应用软件行为监控方法监控软件的动态行为，提取软件的动态行为特征；

步骤3，将步骤1和步骤2二者结果的并集作为初始特征集；

步骤4，采用特征选择算法从初始特征集里选择出对分类最有价值的特征，降低特征的维度，筛选出关键特征集；

步骤5，将选择出关键特征集作为输入，采用分类算法进行分类器训练，最终生成恶意软件检测模型，并对待检测样本进行检测。

2.根据权利要求1所述的一种结合动态行为特征的Android未知恶意软件检测方法，其特征在于，所述的基于LKM(Linux可加载内核模块)的应用软件行为监控方法的具体步骤包括：

步骤2.1，当被监控软件试图产生恶意行为时，系统首先会劫持并替换被监控软件产生的行为对应的Linux系统调用；

步骤2.2，在替换后的系统调用处理例程里，对系统调用的参数进行解析，判断出监控到的是何种行为；

步骤2.3，记录被监控软件的恶意行为日志，分析日志，提取软件的动态行为特征。

3.根据权利要求1所述的一种结合动态行为特征的Android未知恶意软件检测方法，其特征在于，所述的将软件静态文件特征以及动态软件特征相结合，可有效提高未知恶意软件检测的准确性。