基于类别以及权限的android恶意程序检测方法

基于类别以及权限的android恶意程序检测方法

0android应用程序安全的检测机制android作为一个开放的手机操作系统，为我们提供了快乐，但其安全性逐渐突出。用户可以在GooglePlay上浏览、下载以及购买各式各样的第三方应用程序，但是GooglePlay的检测机制并不完善，不能保证第三方应用程序的安全性。通常，恶意软件会访问一些敏感的权限，一旦用户授权成功，它们就会滥用这些权限在后台进行一些恶意行为，比如发送用户的隐私信息，或者通过发送短信息等方式消耗用户的资费，给用户带来各种危害。针对这些问题，本文提出了一种基于类别以及权限的Android恶意程序检测方法，分析应用程序所要申请的权限来判断该程序是否是恶意的应用程序，从而保护手机用户隐私信息的安全。1总结1.1有的安全机制Android安全机制包括传统的Linux安全机制，以及Google为Android设计的特有安全机制。Linux安全机制下，Linux内核保证每个应用程序在自己的进程和数据空间内运行，以达到隔离的目的。Android特有的安全机制主要包括：签名机制，组件封装以及基于权限的安全机制。签名机制：在Android中所有的应用程序必须都是经过数字签名认证的。只有经过数字签名的应用程序才能进行安装，并且只有用同一个证书签名的应用程序才能安装升级的应用程序；组件封装：Android主要通过组件间的封装来保护应用程序的运行权限机制：权限是用来描述是否拥有做某事的权利。默认设置下，Android应用程序都没有干扰其它应用程序、系统或用户的权限，除非应用程序依据要实现的功能，提出申请，要求合理的权限。这样用户就可以通过分析应用程序申请的权限来简单判断该程序是否安全。权限机制会在安装包安装和升级的时候对应用包中的权限信息在基于签名的基础上进行抽取、初始化、检测并授权，建立相应的数据结构1.2)获取权限Android权限大致可以分为3类：(1)Android手机所有者权限：用户具有的安装使用应用程序的权限。(2)Androidroot权限：Android系统的最高权限，可以对系统文件进行任意操作。(3)Android应用程序权限：应用程序对系统资源的访问权限。Android应用程序获取权限分两个步骤，首先在AndroidManifest.xml文件中设置相应的标签和属性来申请自己想要的权限，然后在应用程序安装时，用户授予应用程序申请的权限。权限的授予只在应用程序安装时发生，而且是一次性授予，用户一旦授予成功，在应用程序的运行期间就不能更改，所有未经申请的权限系统都会拒绝。系统内置100多种可供应用程序申请的权限。AndroidManifest.xml文件中与权限相关的标签有<uses-permission>、<permission>、<permission-group>等。其中，<permission>标签是用于声明自定义权限的，<uses-permission>标签则是用来声明应用程序申请的系统权限，这部分权限是本文中主要用到的权限。2)提取约束恶意行为近年来，Android恶意程序检测方法层出不穷，2010年，Enck利用跟踪的技术，将敏感数据标记出来，通过跟踪数据的流向，根据预先定义好的规则，来判断该程序是否是恶意程序，是否要给该程序使用这些数据，但是用户必须要修改系统才能应用这个机制以上方法虽然有的从不同方面对应用程序的权限进行了分析，但是并没有以类别和权限为依据进行研究。某一个特定类别的应用程序所实现的功能相似，因此要访问的权限类似，文章就利用这一点先将应用程序进行分类，再对该程序要访问的权限进行分析研究，根据该程序所属的类别给用户提供建议。3安卓恶意软件检测3.1)权限检查权限安全模型是Android设备最重要的安全防护措施之一，它可以限制访问特殊资源，也就是说，可以限制某些恶意行为。如果一个应用程序想要完成一些特定的功能，就必须访问相应的权限，所以一个应用程序的权限列表反映了程序的功能以及行为。GooglePlay把应用程序分为26个类别，同一个类别的应用程序它所实现的功能相近，因此认为所需要的权限也相似，依照这个结论，提出了一种基于类别以及权限的Android恶意应用程序检测方法，方法的流程如图1所示。3.2类别权限使用依据GooglePlay，将所有的应用程序分为26个类别，每个类别搜集足够多的应用程序，利用Android资源打包工具（androidassetpackagingtool,aapt）提取搜集程序AndroidManifest.xml文件中的权限列表。aapt.exe在SDK的platform-tools目录下，也可以用来查看、添加、删除压缩包里的内容。使用aaptdumppermissionsABC.apk，作用是提取ABC.apk文件中的权限列表。再将所有应用程序的权限使用情况统计到一个excel文件中，其中每一行代表一个应用程序权限使用情况，格式如下：（p选取GooglePlay中所有的类别作为依据来建立资料库，总共搜集了1027个不同的Android应用程序。为了给能给它们正确的分类，并没有改动应用程序原来的名称，通过获取应用程序的权限列表以及统计用到的权限总数，最终获得了应用程序的权限集合。要想每个类别程序的权限呈现一定的规律性，就必须选择足够数量的程序，一旦要搜集的应用程序的个数定了，就从对应类别中随机选择应用程序。每个类别所搜集的程序个数见表1。这里统计了126个不同的权限。把每个程序看作一个向量，每个向量有126个选项来代表有无对应项的权限，然后生成一个．csv格式的文件。收集到的天气类以及保健与健身类的应用程序的权限分布情况如图2和图3所示。图中横轴代表对应的权限，顺序是权限按照字母的顺序排列，比如图2代表android.permission.ACCESS＿COARSE＿LO-CATION,53则代表android.permission.INTERNET。提取不同类别各个应用程序的使用权限，并统计权限在该类别的使用频率，根据使用频率给不同权限赋予不同的权值，这里认为使用频率越大，在该类别的应用程序中出现该权限越合理，设置权值越小。定义R(p权限的使用率越高，则该类别其它程序使用该权限就越安全，恶意影响就越小。由式（1）也可以看出权限的使用频率越高，则其权值越小，反之越大。由式（2）根据这些权限在该类别的权值计算该类别的恶意阈值，以便进行比较。由于不同类别的权限使用率不同，因此对应的权限权值也不同，计算出的恶意阈值也不相同。4实验过程和结果分析4.1序列最小优化算法用户安装应用程序时，必须选择该应用程序所属的类别，这里利用数据挖掘的方法，根据搜集到不同类别的权限使用情况，建立不同类别间的判断准则，从而帮助用户判断应用程序所属类别。使用支持向量机（supportvectormachine,SVM）的一种序列最小优化算法进行判定。序列最小优化算法是一种用于解决支持向量机训练过程中所产生优化问题的算法。简单描述该算法要解决的问题就是用分类超平面将空间中的两类样本正确分离，并取得最大边缘。实验中给多于两个类进行分类时，依然是每两个类都会两两比较，并正确分离。假设有数据集为：（pBorja发表了一篇基于权限的恶意软件检测的文章中，论文没有将应用程序进行分类，只是根据应用程序的权限使用情况判定程序是否是恶意程序应用程序分类完成后，利用aapt命令提取应用程序的访问权限，生成对应向量。利用式（3）按照该类别对应权限的权值，计算该应用程序的恶意值。再将恶意值与该类别的恶意阈值做比较，若小于或等于恶意阈值，认为该应用程序是安全的，建议用户可以安装。否则，提醒用户该应用程序可能会有异常，通知用户，让用户来选择是否进行安装。4.2恶意应用检测实验以类别和权限使用情况为依据对应用程序进行分析，所以验证包括两方面的内容。一是恶意应用程序的检测，二是正常的应用程序在不同类别中的验证结果。实验搜集了37个不同种类的Android恶意应用程序做测试，发现了34个可以检测被认为是恶意应用程序。表4所示为一个未被感染病毒的正常的onchat.apk应用程序，按照GooglePlay的分类，应该将其归为通讯类，但是如果将其看作是摄影类或是工具类或是游戏类的进行验证，计算其恶意值，就会发现该恶意值要大于该类的恶意阈值，从而被判定为恶意应用程序。所以该方法中应用程序所属的类别是判定该应用程序是否有恶意的一个重要依据。5基于类别和权限的恶意检测方法本