Android恶意软件检测方法分析(kNN+k-means算法 )

　　Android 系统自发布至今，历经多次更新升级，其安全性越来越高。但是，针对Android 系统的恶意软件开发技术，也在不断地更新升级，恶意软件对个人隐私、财产安全、公共安全和国家安全带来了极大的威胁和危害，因此，针对 Android 恶意软件的检测方法研究，具有重大的理论意义和现实意义。
　　为了获得更好的检测效果，当前国内外 Android 恶意软件检测方法，主流研究主要集
　　中于 Android 恶意软件动态特征和静态特征的处理方式，或者进行算法改进。受限于硬件和软件技术，一些方法即使取得了较好的效果，也不便于推广和应用。因此，基于Android 应用程序元信息的恶意软件检测，受到了一部分研究者的关注，开展了一定的研究。本文以 Android 应用程序元信息特征为研究对象，进行Android 恶意软件检测方法的研究。主要研究内容和成果如下：
　　（1）以 Android 恶意软件检测流程为主线，从样本获取、特征选择、检测方法、数据集筛选，和实验结果评估方法的角度，对国内外 Android 恶意软件检测方法的研究现状和进展进行了归纳和总结，分析其优缺点，并提出了未来的研究工作。
　　（2）很多应用具有比所属类型更多的功能，需要获取更多的权限，过多的权限可能带来一定的安全隐患，针对这类问题，提出一种基于元信息的 Android 恶意软件检测方法，通过 Android 应用程序描述确定应用程序的功能类型，按照功能对应用程序分组，对属于同一功能类型的所有应用程序，提取其权限信息，以权限特征为研究对象，进行Android 恶意软件的分类检测。实验结果获得了94.81%的平均准确率，证明方法的有效性和高准确率。
　　关键词：Android 恶意软件检测,元信息,权限特征 　　The  Android  system  has  been  upgraded  more  and  more  safely  since  its  release.  However,malware  development  technologies  for  the  Android  system  are  constantly  being  updated  andupgraded.  Malware  poses  great  threats  and  harms  to  personal  privacy,  property  security,  publicsafety,  and  national  security.  Therefore,  detection  of  Android  malware  is  indispensable.
　　Methodological  research has great theoretical and practical significance.
　　In  order  to  obtain  better  detection  results,  the  current  mainstream  research  on  Androidmalware  detection  methods  at  home  and  abroad  mainly  focuses  on  the  processing  methods  ofAndroid  malware  dynamic  and  static  features,  or  algorithm  improvement.  Limited  by  hardwareand  software  technology,  some  methods  are  not  easy  to  promote  and  apply  even  if  they  haveachieved  good  results.  Therefore,  malware  detection  based  on  Android  application  meta-information  has  attracted  the  attention  of  some  researchers  and  carried out  research.  This  articletakes  the  Android  application  meta-information  feature  as  the  research  object  and  conducts  theresearch  on  Android  malware  detection  method.  The  main  research  methods  and  results  are  asfollows:
　　(1) With the Android  malware detection process as the main  line, from the point of  view ofsample acquisition,  feature selection, detection  method, data set selection, and evaluation  methodof  experimental  results,  this  paper  sums  up  and  summarizes  the  research  status  and  progress  ofmalware  detection  methods  at  home  and  abroad, analyzes  its  advantages  and  disadvantages,  andputs forward the future  research work.
　　(2)  Many  applications  have  more  functions  than  their  types,  and  they  need  to  acquire  morepermissions.  Excessive  permissions  may  bring  some  security  risks.  To  address  these  issues,  thispaper  proposes an  Android  malware  detection  method  based  on  meta  information,  which  can  beused  to  describe  the  function  type  of  the  application.  Group  applications  by  function,  for  allapplications belonging to the same  functional type, extract their permiss ion  information, and takethe privilege characteristics as the object of study, and carry out the classification detection of theAndroid  malware. The experimental results obtained the average  accuracy of 94.81% and provedthe validity  and high  accuracy of the method.
　　Key Words:Android malware detection,meta information,permission  features

　　本文在分析和对比了国内外Android恶意软件检测方法研究的现状和进展之后，提出了一种进行Android恶意软件检测的方法并通过实验进行验证。主要研究内容如下：
　　（1）结合Android恶意软件检测的流程，对国内外的Android恶意软件检测方法进行研究，分析其优缺点。
　　（2）很多应用具有比所属类型更多的功能，需要获取更多的权限，过多的权限可能带来一定的安全隐患，如何判断这类应用是否为恶意应用，针对这类问题，开展研究。
　　Android系统由Google公司在2007年11月5日正式发布，作为一款基于Linux内核的操作系统，其具备了开源、自由的特性。这使得Android系统以极快的速度，超越具有长达14年历史的Symbian系统，成为市场占有量最大的智能移动设备操作系统。随着计算机技术、硬件技术和网络技术的发展，Android系统越来越完善，Android系统设备的配置越来越高级，Android系统设备的功能也越来越强大，网上冲浪、阅读、学习、办公、视频、音乐、游戏等等应用范围越来越广，渐渐被人们广泛接受。Android系统设备的功能如此齐全的一个极大原因是APP的爆发。
　　Android系统自由、开源的特性使得基于Android系统的APP开发门槛极低，软件开发商甚至是个人都可以单独完成相关软件的开发。目前，Android应用市场数量众多，包括Google  Play，各大品牌手机厂商自己经营的应用市场，众多安全公司的应用市场以及各种第三方软件市场。市场管理者会对本市场中的应用按照功能或应用场景进行分类，例如小米手机官方市场将其软件分为影音视听、实用工具、聊天社交、图书阅读、时尚购物等多个类别，每个类中又分多种范围更小的类，如上述的影音视听类其中包含视频、音乐、直播、电台等类。同时，软件开发商或个人可以自行选择应用市场发布自己的软件，这意味着同一个软件可能在多个应用市场进行发布，导致应用市场上同一类别的软件数目数不胜数。如果认为开源、自由是Android成为市场占有量最大的智能移动设备操作系统的根本原因，那么数量如此众多，功能如此齐备的软件，就是Android系统设备能够以较快速度占领市场，并成为市场主流的主要原因。
　　在各种正常功能的应用爆发式增长的同时，恶意应用数量也迅速增加。开源、自由的特性备受广大APP开发者和用户的欢迎的同时，也成为了恶意犯罪者的首选目标。Android应用庞大的用户群和用户数据，以及诸多与金钱相关的应用的普及更加助长了恶意犯罪者的动机。越来越多的恶意应用混杂在良性应用中，充斥在各大官方的或第三方的应用市场中，供用户下载使用。在用户无意识的操作下，或者在用户根本不知道的情况下造成信息泄露或产生各种费用，给用户带来各种危害。随着第一款针对Android系统的恶意应用Fake Player[1]的被发现，越来越多的恶意应用被发现。北卡州立大学的Yajin  Zhou和Xuxian  Jiang[1]在此后的一年多的时间里发现了几千个恶意应用，并从中筛选出了1200多个，可归类为49个恶意应用系列的具有代表性的恶意应用程序。
　　张玉清等人[2]对恶意应用的定义是带有恶意代码，会对系统和其他应用产生威胁的应用。针对Android恶意应用，各大防病毒软件公司也相继推出自己的防病毒软件，从Android官方市场能够下载到相应的应用程序。
　　国外比较有代表性的是AVG  Antivirus、Lookout  Security  &Antivirus、Norton  MobileSecurity和Trend Micro  Mobile  Security。但是Xuxian  Jiang等人[1]
　　通过实验证明这些防病毒软件的检测效果并不能令人满意：最好的情况下，Lookout在39个恶意应用系列中检测到1003个恶意软件样本，检测准确率为79.6%；而最坏的情况下，诺顿(Norton)在36个恶意应用系列中检测到最少的恶意样本仅254个，检测准确率为20.2%。这个或许就是商业软件的弊端，Rastogi等人[3]的实验也证明了这一点。他们利用自己构建的框架对包含AVG、Lookout、Kaspersky等10个公司开发的Android防病毒软件进行了系统的分析，不同的是，他们的实验更偏重于检验防病毒软件对抗恶意软件转换技术的能力。
　　国内的智能移动设备防护软件分为两种情况。一种是如小米、华为等国产品牌智能移动设备自己的官方安全软件。国产手机智能移动设备品牌都有自己的官方应用市场，当用户从设备所属品牌的官方应用市场下载安装软件时，都默认为安全；但是当要安装不是从官方市场下载的应用时，安全软件会给出“不推荐安装”的建议，但不会说明其是否为恶意应用。另一种就是如腾讯、金山、奇虎等安全公司出品的安全软件。目前没有发现有研究者发表对这些软件的检测效果进行测试的报告，不过推测应该跟国外的软件相差不多。
　　这些安全软件公司每年都会发布自己安全风险报告，通报自己当年的安防数据。
　　在应用程序被发布到应用市场前，或者在其被用户下载安装前，就检测出其是否为恶意应用对应用市场经营者和用户而言具有重大意义。如果恶意应用开发者欲将其开发的应用程序发布到某应用市场上，而应用市场管理者在接收到被提交的该应用程序时就检测出其为恶意应用，则可拒绝其在该市场继续发布，从而降低市场的恶意应用发布率，进而提高市场的可信度，获得更好的评价。而用户将某应用程序下载到自己的设备上时或者下载完成后就检测出所下载的应用为恶意应用，则可选择取消下载或者不再继续安装并删除该应用，进而避免个人信息的泄露和财产的损失。
　　研究如何在现有条件下及时、快速、准确地检测出恶意应用对于安全研究领域、应用市场经营者和用户具有重大的理论意义和现实意义。因此，Android应用安全问题也成为了广大研究者关注的热点问题。
　　本论文共分为五章，各章节安排如下：
　　第一章 绪论。本章阐述了Android恶意软件检测方法课题研究的背景和意义，对本文的章节安排进行了说明。
　　第二章 Android恶意软件检测方法研究综述。本章基于Android系统恶意软件检测的全流程，对比和分析国内外的研究现状和进展，对Android恶意软件检测方法进行归纳和总结。
　　第三章 基于元信息的Android恶意软件检测算法研究。很多应用具有比所属类型更多的功能，需要获取更多的权限，过多的权限可能导致应用存在安全问题，针对这类问题，首先介绍元信息，阐述算法提出的动机，说明算法原理及流程。
　　第四章 检测方法实验。设计了聚类实验和分类实验方案，对算法进行验证。
　　第五章 总结与展望。本章对本文的研究内容，和所做的工作进行了归纳总结，展望了未来的研究方向。

Android恶意软件应用程序检测研究：