[发明专利]基于改进灰狼算法的Android恶意应用检测方法

说明书

本发明公开一种基于改进灰狼算法的Android恶意应用检测方法，主要解决现有基于机器学习的Android恶意应用检测方法在对高维不平衡数据集下进行检测时，分类器建模时间过长，恶意样本容易被错分的问题。包括以下步骤：1）收集样本，包括良性样本和恶意样本；2）对样本进行反编译，提取出样本特征形成样本特征集；3）将样本特征集划分为训练集和测试集；4）使用改进后的灰狼算法进行特征选择，选择出最优特征子集；5）用最优特征子集进行分类器训练。本发明中的特征选择方法可以选择出最优特征子集，大大降低了分类器的构建时间，能够提高Android恶意应用检测的检测效率和检测精度。

技术领域

本发明涉及软件安全领域，尤其涉及一种基于改进灰狼算法的Android恶意应用检测方法。

背景技术

随着移动互联网的飞速发展，Android已经成为当今最受欢迎的移动操作系统之一。Android因其开放性吸引了无数的开发人员在其上开发制作自己的应用程序，但其巨大的发展空间也同时吸引着广大骇客，骇客利用恶意应用侵犯Android系统使用者的财产安全和隐私安全。进行Android恶意应用检测成为防止此类威胁的重要手段。

随着机器学习的发展，很多学者开始将机器学习方法应用到Android恶意检测上。但是，在使用基于机器学习的检测方法时，为了获取尽可能多的分类信息，通常提取大量细粒度的特征，使得特征维度非常高，给机器学习分类器带来巨大工作量，并降低分类器的分类精度。另外，在现实世界中，Android恶意应用与良性应用的分布是不平衡的，良性应用的数量远远大于恶意应用的数量，而不平衡数据集会使机器学习分类器偏向大类样本，即良性应用，易造成恶意样本被错分。

发明内容

本发明的目的在于针对现有技术中存在的不足，提供了一种基于改进灰狼算法的Android恶意应用检测方法。该方法能够有效提高Android恶意应用检测的检测效率和检测精度。

为了实现上述目的，本发明采用了以下技术方案：

一种基于改进灰狼算法的Android恶意应用检测方法，包括下列步骤：

1)收集样本集，也就是Android应用程序(简称APK)，包括良性APK和恶意APK；

2)对良性APK和恶意APK分别进行反编译，提取出样本特征形成样本特征集；

3)基于k折交叉验证方法，将样本特征集分成k份，取其中一份为测试集，其余k-1份为训练集；

4)使用改进后灰狼算法进行包裹式特征选择，选择出最优特征子集，使用常见机器学习分类器(如朴素贝叶斯、支持向量机或者决策树等)进行分类检测，采用fitness(x)作为灰狼算法的适应度函数；

5)对分类器使用选择出的特征子集进行训练，得到训练好的分类器。

6)根据步骤2)提取待检测APK特征，将其映射到最优特征子集中得到特征向量，用训练好的分类器判断该特征向量是否恶意，即完成检测。

本发明进一步说明，所述步骤2)中提取样本特征的方法为：

2a)使用反编译工具apktool对收集到的APK进行反编译，得到*.smali文件，依次扫描各个smali文件中的“invoke-virtual”语句，得到该APK的API调用信息；

2b)使用Android SDK中的工具——appt提取出APK申请的权限，得到该APK的权限信息；

2c)取所有APK的API调用信息和权限信息的全集作为特征集合；每一行表示一个APK文件，每一列表示一个特征，0表示不存在该特征，1表示存在该特征，并在最后一列加入类别标签，良性表示为0，恶意表示为1。

本发明进一步说明，所述步骤3)的k折交叉验证方法中k是任意大于1的常数。常见k取值为5或10。