[发明专利]一种基于元路径嵌入的图神经网络安卓恶意软件检测方法

权利要求书

1.一种基于元路径嵌入的安卓恶意软件检测方法，其特征在于，采用如下步骤：

步骤一、使用APK分析工具androguard对安卓APK文件进行反编译，提取静态特征，得到API和Permission；

步骤二、将按步骤一得到的API和Permission与APP一起作为三种类型的节点，并通过定义节点之间的关系来构造边，然后根据APP与API、Permission之间的包含关系来产生邻接矩阵，构造异质图；

步骤三、定义元路径，对每个APP节点进行嵌入：在每种元路径下，对于每个邻居节点，在它们之间提取出λ条具体的元路径，然后对提取出的元路径使用RotatE编码器进行编码，把编码后的元路径与该APP节点一起构成同质图送入图注意力网络模型中，得到该种元路径下这个APP节点的嵌入表示；

步骤四、计算每种元路径的权重，然后将步骤三得到的APP嵌入和对应的元路径权重相乘累加得到最终的APP嵌入表示；

步骤五、将步骤四得到的APP嵌入表示送入到线性SVM分类器中，得到APP的分类结果。

2.根据权利要求1所述的一种基于元路径嵌入的图神经网络安卓恶意软件检测方法，其特征在于，步骤三中提取元路径过程中定义了λ参数，λ表示在每种元路径下经过提取后两个APP节点之间的中间节点的最大数量，或经过提取后两个APP节点之间的该种元路径的最大数量。

3.根据权利要求1所述的一种基于元路径嵌入的图神经网络安卓恶意软件检测方法，其特征在于，步骤二中利用RotatE编码器按照元路径的序列依次对节点和边进行编码，得到每条元路径的嵌入表示，然后将得到的所有元路径嵌入表示作为新的邻居节点和APP节点一起输入到图注意力网络模型中得到APP节点的节点级别嵌入；具体采用的步骤如下：

S301.给定一个具体的元路径P(v，u)＝(t₀，t₁，…，t_n)，t₀＝u，t_n＝v，v是要聚合的目的节点，u是基于元路径的邻居节点，具体编码公式如下：

公式中：h_i表示节点i的特征；o_i表示从t₀到t_i这一段元路径的嵌入表示；r_i是R_i的关系向量，R_i表示节点t_i-1和节点t_i之间的关系；⊙是哈达玛乘积，h_p(v,u)是这条元路径的嵌入表示；o_n表示从t₀到t_n这一段元路径的嵌入表示；n+1表示这条元路径上的节点个数；

S302.将步骤S301得到的所有元路径嵌入表示作为新的邻居节点和APP节点一起输入到图注意力网络模型中，利用如下公式完成APP节点在该种元路径下的嵌入：

公式中：表示节点v在元路径p下的嵌入，GAT表示图注意力网络模型，G^p表示在元路径p下的元路径嵌入和APP节点构成的同质图。

4.根据权利要求1所述的一种基于元路径嵌入的图神经网络安卓恶意软件检测方法，其特征在于，对步骤四的每种元路径分别计算权重，然后把APP节点在每种元路径下的嵌入与对应权重相乘累加，得到APP节点的最终嵌入表示；具体采用步骤如下：

S401.通过以下两个公式计算每种元路径的权重：

公式中：|V|表示APP节点的数量，q^T是常规的q的转置，V表示APP节点集合，q是注意力向量，M是权重矩阵，b是偏差向量，β_p表示元路径p的权重，P是元路径种类集合，exp表示以e为底的指数函数；

S402.得到每种元路径的权重以后，把步骤三得到的每种元路径下的APP嵌入表示与对应的元路径权重相乘累加，融合不同元路径下的嵌入得到最终嵌入，具体公式如下：