移动终端恶意行为检测方法、系统、介质、设备及应用技术方案

本发明专利技术属于移动终端恶意行为信息检测技术领域，公开了一种移动终端恶意行为检测方法、系统、介质、设备及应用，包括：验证同类行为特征集合的紧密覆盖集的存在性，提出同类行为特征集合的紧密覆盖集构造算法和同类行为特征区域紧密覆盖面模型和求解算法；分别实现动静态分析相结合的程序行为特征提取方法、融合独立性、连续性分析的移动终端恶意行为特征提取方法，并训练样本的鲁棒化；构建基于紧密覆盖学习的移动终端恶意行为检测模型。本发明专利技术不需要对各个应用进行插装，监控应用的所有行为，攻击者无法通过调用冷僻的API绕过监控，也很难发现或对抗监控模块，将现有基于机器学习的移动终端恶意行为检测方法的错误检测率降低3％左右。

【技术实现步骤摘要】
移动终端恶意行为检测方法、系统、介质、设备及应用
本专利技术属于移动终端恶意行为信息检测
，尤其涉及一种移动终端恶意行为检测方法、系统、介质、设备及应用。
技术介绍
目前，随着移动互联网的飞速发展，智能手机已成为本专利技术日常生活中不可或缺的工具。社交、娱乐、金融，各种各样的移动应用为用户提供了便捷的服务。这些移动应用在为用户生活带来便利的同时，也为用户的隐私和财产安全带来威胁。2019年1月，腾讯移动安全实验室发布的《2018年手机安全报告》显示，2018年新增恶意移动应用数量达到800.62万个，中国Android手机病毒感染用户数近1.13亿；恶意应用的主要类型是资费消耗和隐私窃取，仅暗扣话费类的恶意行为每天就会造成数千万元的经济损失。2015年中国网民因个人信息泄露、垃圾信息、诈骗信息等现象导致总体损失就达805亿元。正因为如此，早在2015年，我国网络安全，包括移动安全就已上升到国家战略层面。和发展网络安全，包括移动安全保护技术和方法是国家急需。机器学习内容和应用范围十分广泛。而支持向量机SVM与深度学习的是机器学习的重要内容。而且支持向量机与深度学习的应用取得机器学习(人工智能)应用的多个突破。因此这里只简单综述SVM与深度学习与应用国内外现状及发展动态。支持向量机SVM思想是将所有特征向量映射到一个很高维的空间里，在这个空间里建立有一个最大间隔超平面，该超平面对应的原始空间曲面就是分类决策面。在分开两类特征向量(数据)的超平面的两边建有两个互相平行的超平面。分隔超平面使两个平行超平面的距离最大化。支持向量机建立了一套有效的小样本学习理论(也称统计学习理论)，突破了小样本学习的瓶颈。支持向量机应用极为广泛，实际上，能归结为模式识别、模式分类的问题都可以用支持向量机来求解，如，模式识别、故障检测、入侵检测、舆情监控等。仅用SupportVectorMachine作为题名在ScienceDirectOnline(Elsevier全文期刊库)搜索2018年论文就能搜索到1669篇论文。2018年11月我在京东网上一次性买到22本不同的关于支撑向量机和应用专著。显然，对于二分类，SVM确定的同一类特征区域往往是无界区域，而实际的同类行为特征区域都是有界的。因此SVM确定的同一类特征区域侵占了别的其他类的实际特征区域或未知类的特征区域。而且侵占较严重，有较大错分样本的风险。因此不适合直接用于做重大疾病认证识别、通过生物特征对人身份认证识别、钞票认证识别、票据认证识别、恐怖分子认证识别、入侵检测等分类器设计工作。又由于当增加训练样本或增加新类别时，求解SVM分类决策面的工作需要重新进行。因此SVM没有增量学习功能。在多分类的SVM分类器设计中，SVM确定的同一类特征区域也侵占了别的其他类的实际特征区域或未知类的特征区域。且改变一个训练样本或增加一个类别，相应分类器学习训练过程需要重头开始，分类器无法继承以前训练学习的任何结果，因此SVM多分类器也没有增量学习功能。在许多改进的SVM方法(考虑到有时不同类行为特征区域不平衡等特性)中，(1)没有引入合适拒识机制：实际上是不方便确定拒识区域。因为当前方法下，确定了拒识区域并不一定带来正确识别率提高；(2)SVM确定的同一类特征区域会侵占未知类的特征区域，有把未知类样本错判为某已知类的风险。SVM分类器正确识别率不能逼近100％：SVM确定的已知类特征区域都尽可能最大化占据未知特征空间；(3)SVM分类器没有增量学习功能：当增减类别时，学习训练工作要彻底重来。当任一增加或减少训练样本时，学习训练工作也要彻底重来。系列有代表性超球SVM分类算法思想是将所有特征向量映射到一个很高维的空间里，在这个空间里建立一个满足某种约束的半径最小超球面，超球面包裹几乎所有同类样本点。该超球面或同心超球面对应的原始空间曲面就是分类决策面。在超球SVM分类器中，也存在问题：(1)没有引入合适待识(拒识)机制：因为不方便确定恰当的待识(拒识)区域，或者勉强确定了待识(拒识)区域，但并不一定带来正确识别率提高；(2)分类决策面包裹区域侵占未知类的特征区域，有把未知类错判为某已知类的风险，分类器正确识别率不能逼近100％；(3)分类器没有增量学习功能：当增减类别时，学习训练工作要彻底重来。当任一增加或减少训练样本时，学习训练工作也基本上要彻底重来。深度学习的概念由Hinton等人于2006年提出。深度学习是机器学习中一种基于对数据进行表征学习的方法。观测值(例如一幅图像)可以使用多种方式来表示，如每个像素强度值的向量，或者更抽象地表示成一系列边、特定形状的区域等。而使用某些特定的表示方法更容易从实例中学习任务(例如，人脸识别或面部表情识别)。深度学习的好处是用非监督式或半监督式的特征学习和分层特征提取高效算法来替代手工获取特征。近十年来，深度学习的的快速发展带来了计算机视觉、语音识别、自然语言处理等其他领域突破性进展。香港中文大学的多媒体实验室是最早应用深度学习进行计算机视觉的华人团队。在2015年世界级人工智能竞赛LFW(大规模人脸识别竞赛)上，该实验室曾力压FaceBook夺得冠军，使得人工智能在该领域的识别能力首次超越真人。在国内外，微软、IBM、google、阿里巴巴，科大讯飞、百度、中科院自动化所等公司或单位等公司都快速进行了DNN语音识别的，并且速度飞快。2015年，微软人员通过与Hinton合作，首先将RBM和DBN引入到语音识别声学模型训练中，并且在大词汇量语音识别系统中获得巨大成功，使得语音识别的错误率相对减低30％。在大数据时代，各种深度学习分类器不断改进提高正确识别率，有的甚至把特别场合的正确识别率提高到99％。以前街景文字识别几乎是不可能的事情，但现在街景文字正确识别率到达(关于数据库)满意程度。很遗憾，这些分类器也不能保证确定的同一类特征区域不侵占别的其他类的实际特征区域或未知类的特征区域。不能直接用于于做严肃场合，如，重大疾病认证识别、通过生物特征对人身份认证识别、钞票认证识别、票据认证识别、恐怖分子认证识别、入侵检测等场合。而且这些基于深度学习的分类器设计工作，也很难引入待识(拒识)机制。实际上，在以上分类器中存在问题：(1)很难确定恰当的待识(拒识)区域：分类决策面很难表达，恰当待识(拒识)区域也无法描述；(2)分类决策面包裹区域会侵占未知类的特征区域，有把未知类错判为某已知类的风险，分类器正确识别率不能逼近100％；(3)增量学习功能有限：当增减类别时，学习训练工作要基本上重来。当增加或减少一些训练样本时，学习训练的很多工作也要重来。面对来自海量移动终端恶意代码的威胁，现有和应用提出了多种基于机器学习的恶意代码检测方案。例如，DroidRanger将“基于权限的行为足迹”作为特征；Drebin将组件、权限、硬件功能需求、组件关联关系、API调用、网络地址等作为特征。以上通过基于特征的恶意应用检测很可能会漏检新型的恶意程序，因此，现有设计了多种对移动应用进行行为分析的方法，试图通过理解程序的行为来发现恶意程序或恶意行为。例如，针对信息泄露问题，本文档来自技高网...

【技术保护点】
1.一种移动终端恶意行为检测方法，其特征在于，所述移动终端恶意行为检测方法包括：/n验证同类行为特征集合的紧密覆盖集的存在性，提出同类行为特征集合的紧密覆盖集构造算法和同类行为特征区域紧密覆盖面模型和求解算法；/n分别实现动静态分析相结合的程序行为特征提取方法、融合独立性、连续性分析的移动终端恶意行为特征提取方法，并训练样本的鲁棒化；/n构建基于紧密覆盖学习的移动终端恶意行为检测模型。/n

【技术特征摘要】
1.一种移动终端恶意行为检测方法，其特征在于，所述移动终端恶意行为检测方法包括：
验证同类行为特征集合的紧密覆盖集的存在性，提出同类行为特征集合的紧密覆盖集构造算法和同类行为特征区域紧密覆盖面模型和求解算法；
分别实现动静态分析相结合的程序行为特征提取方法、融合独立性、连续性分析的移动终端恶意行为特征提取方法，并训练样本的鲁棒化；
构建基于紧密覆盖学习的移动终端恶意行为检测模型。


2.如权利要求1所述的移动终端恶意行为检测方法，其特征在于，验证同类行为特征集合的紧密覆盖集的存在性的方法包括：在致密凸集、致密S—β星凸集定义基础上，可获得关于致密凸集的以下定理：C是N维特征空间RN的一致密单连通点集；且C是致密凸集；令C的致密边界点个数为Γ；对于任意点X＝(x1,…,xi,…,xN)∈C，定义2N个点(x1±ε,x2,…,xi,…,xN)，......，(x1,…,xi-1,xi±ε,xi+1,…,xN)，......，(x1,…,xi,…,xN-1,xN±ε)；设—ε紧密覆盖集为则当时,I(C)至少有Γ个点，且对应于每一个C的边界点，至少有上述2N个点中一个点在I(C)中；而且X＝(x1,…,xi,…,xN)∈C到内的一立体表面距离大于
X＝(x1,…,xi,…,xN)是C的一个致密边界点，它到边界的而距离为X＝(x1,…,xi,…,xN)∈C为原点的新坐标系，记过X＝(x1,…,xi,…,xN)和(x1,…,xi+ε,…,xN)的坐标轴记为XXi,i＝1,…,N；再以(x1,…,xi-1,xi±ε,xi+1,…,xN)为中心,作半径为的球B(x1,…,xi-1,xi±ε,xi+1,…,xN)，则该球B与坐标轴有等交点；由的定义知，一定有C中点(x1',…,xi-1',(xi'±ε)',xi+1',…,xN')包含在球B(x1,…,xi-1,xi±ε,xi+1,…,xN)中；当作垂直于坐标面XiXXj…,i,j＝1,…,N的球B(x1,…,xi-1,xi+ε,xi+1,…,xN)和B(x1,…,xj-1,xj+ε,xj+1,…,xN)切平面Πij…，i,j＝1,…,N时，则Πij…与坐标轴分别有和两交点；
由高维空间的超平面定义知，当N个点不共N-2维超平面时，他们一定决定一个N-1面维超平面且共该超平面；决定过等点的N-1维超平面；因此2N个点中有种N个点的组合方式，其中有些组合方式：N个点共一个N-1面维超平面且确定该超平面，即不共N-2维超平面；由排列组合公式知，不过原点X＝(x1,…,xi,…,xN)∈C和不同时过的以上N-1维超平面的个数为个；且易知，这些超平面所围立体是凸多面体，该凸多面体是以2N个点为顶点的最小体积凸多面体Ω；X＝(x1,…,xi,…,xN)∈C是凸多面体中心，是一内点；
用反证法反证，假设2N个点(x1±ε,x2,…,xi,…,xN)，...，(x1,…,xi-1,xi±ε,xi+1,…,xN)，...，(x1,…,xi,…,xN-1,xN±ε)全在中，推出矛盾；
最后证明当时，X＝(x1,…,xi,…,xN)到Ω表面的距离大于


3.如权利要求1所述的移动终端恶意行为检测方法，其特征在于，所述同类行为特征集合的紧密覆盖集构造算法的构建方法包括：
(1)求致密性参数算法
设有从同类行为特征区域采集的同类行为特征点集合为C，该集合是致密凸集；在包含C的同类行为特征区域T固定的情况下，ε越小，C中点越多，C中点分布越紧密，从T中采集的样本越多；已知T是凸集和给定ε，构造满足致密凸集性质的C并不困难；反过来，已知点集C且假定C有某致密凸集性，要求出最小的ε十分困难；根据RN中不在同一超平面上N+1个点决定的单纯形是一个包含这N+1点的最小体积凸多面体的理论，给出一种估计ε的算法；设C有M个点，用X1,X2,…,XM表示；估计ε算法为：
第一步：计算Xj的第一近邻Xj1：
第二步：计算Xj的第二近邻Xj2：
......
第N+1步：计算Xj的第N+1近邻XjN+1：
第N+2步：计算Xj与近邻的最大距离：
第N+3步：计算ε的次优估计：
按照以上算法计算出来的ε，可以证明C是致密凸集；
(2)紧密覆盖集构造算法
构造—ε紧密覆盖集
第一步：构造M个点的超球邻域判别函数：



当fj(X)≥0时，判断X在以Xj为中心，为半径的超球邻域Π(Xj)内；
第二步：由每一个Xj＝(xj1,…,xji,…,xjN),1≤j≤M派生出2N个点(xj1,…,xji±ε,…,xjN),1≤i≤N；
第三步：检测所有派生点(xj1,…,xji±ε,…,xjN),1≤i≤N，1≤j≤M是否在Π(Xj)，1≤j≤M中，把不在任何一个超球邻域Π(Xj)，1≤j≤M内的派生点集合起来就得—ε紧密覆盖集I(C)；
I(C)中点的个数多于C的边界点个数。


4.如权利要求1所述的移动终端恶意行为检测方法，其特征在于，所述同类行为特征区域紧密覆盖面模型和求解算法的构建方法包括：作变换φ:RN→H，把特征空间映射为更高维空间；k:RN×RN→R是对应核函数；小超球半径为r，同心大超球半径为小超球内的*点是C中点变换到高维空间的对应点，大超球外的+点是I(C)中点变换到高维空间的对应点；找到合适变换φ:RN→H使小超球几乎包含所有*点且r最小，最大，即ρ2最大；这样对应于高维空间小超球面的原始空间曲面就是C的紧密覆盖曲面；
C中有m1个点，I(C)中有m2＝n-m1个点，c是高维空间的球心；建立以下优化模型，通过求解优化解来构造同类行为特征区域紧密覆盖曲面：



s.t.||φ(Xi)-c||2≤r2+ξi,1≤i≤m1,
||φ(Xj)-c||2≥r2+ρ2-ξj,m1≤j≤n,
0≤ξk，1≤k≤n,
其中，ξi,ξj为松弛变量，为惩罚系数；
然后用二次规划求解方法，求解该...

【专利技术属性】
技术研发人员：杨国为，于腾，张青松，杨会渠，迟洁茹，
申请(专利权)人：青岛大学，
类型：发明
国别省市：山东;37