專利名稱：基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)。
背景技術(shù)：
如今智能手機(jī)的廣泛應(yīng)用，特別是Android開放平臺(tái)的提供,使得Android智能手機(jī)市場顯現(xiàn)出巨大的增長優(yōu)勢，但也由于平臺(tái)的開放性，使其更容易受到惡意軟件的攻擊。
目前已有的手機(jī)安全軟件主要是將PC機(jī)中比對(duì)特征碼的形式的安全軟件直接移植到手機(jī)中。特征碼比對(duì)的形式對(duì)查殺已知的惡意程序很有效，但對(duì)未知惡意程序卻束手無策，而如今惡意程序數(shù)量呈幾何級(jí)增長，相對(duì)于惡意程序來說，特征庫的生成與更新往往是滯后的，很多時(shí)候殺毒軟件無法查殺未知的惡意程序。同時(shí)，特征庫需要大量的存儲(chǔ)空間，這對(duì)手機(jī)這種存儲(chǔ)空間和計(jì)算能力都有限的移動(dòng)設(shè)備來說存在著很大的局限性。
基于正常行為的異常檢測技術(shù)是指用已創(chuàng)建的正常行為輪廓檢測偏離的異常行為，該機(jī)制能夠有效檢測出未知異常，所以可以克服特征碼比對(duì)無法檢測未知惡意程序的缺點(diǎn)，但該機(jī)制對(duì)正常行為的檢測存在較高的誤檢率。發(fā)明內(nèi)容
本發(fā)明針對(duì)Android平臺(tái)的安全隱患，探索出新的基于行為檢測的安全檢測體系來實(shí)現(xiàn)檢測軟件異常行為的功能，在盡可能少的存儲(chǔ)量和計(jì)算量的情況下達(dá)到主動(dòng)防御的效果。
本發(fā)明整體構(gòu)架分為三個(gè)模塊:數(shù)據(jù)收集、PCA (principal component analysis,主成分分析)降維、BP (Back Propagation,反向傳播)神經(jīng)網(wǎng)絡(luò)分類。
數(shù)據(jù)收集的研究主要針對(duì)如何調(diào)用本身自帶系統(tǒng)的API (ApplicationProgramming Interface,應(yīng)用程序編程接口)進(jìn)行相關(guān)信息的收集,對(duì)進(jìn)程、服務(wù)、任務(wù)等深度剖析；
根據(jù)初始收集的數(shù)據(jù)運(yùn)用PCA降維技術(shù)以提煉主信息；
根據(jù)PCA降維傳送到BP神經(jīng)網(wǎng)絡(luò)接口，學(xué)習(xí)后的BP神經(jīng)網(wǎng)絡(luò)對(duì)數(shù)據(jù)進(jìn)行評(píng)估；
為了解決技術(shù)問題，本發(fā)明對(duì)每個(gè)細(xì)節(jié)進(jìn)行創(chuàng)新和改造，包括:
(I)對(duì)計(jì)算結(jié)果做初步判定，響應(yīng)手機(jī)，提出警告和建議操作；
(2)對(duì)于上述方法中，所述過程可以在本機(jī)運(yùn)行，無需聯(lián)網(wǎng)或云操作；
(3)對(duì)于上述數(shù)據(jù)收集模塊，所述的收集過程采用三維數(shù)組存儲(chǔ)來簡化操作難度；
(4)對(duì)于上述PCA主成份分析模塊中，所述的方法采用QR矩陣分析求解特征向量;
(5)對(duì)于上述的PCA主成份分析模塊中，所述過程對(duì)特征值的篩選，采用多重比對(duì)貢獻(xiàn)率方法，選取最優(yōu)質(zhì)的貢獻(xiàn)參數(shù)來構(gòu)建參數(shù)模型；
(6)對(duì)于上述BP神經(jīng)網(wǎng)絡(luò)模塊中，所述的學(xué)習(xí)子模塊，采用適合模型學(xué)習(xí)的學(xué)習(xí)因子，主要通過多重變換比對(duì)得出最佳參數(shù)。
本系統(tǒng)將主動(dòng)防御的技術(shù)應(yīng)用于手機(jī)，與手機(jī)上傳統(tǒng)的特征碼比對(duì)相比，能夠提前檢測、有效地提醒用戶所面臨的威脅，解決了手機(jī)中傳統(tǒng)軟件持續(xù)更新數(shù)據(jù)、計(jì)算量龐大的難題。


下面結(jié)合附圖和實(shí)施例對(duì)本發(fā)明作進(jìn)一步說明。
圖1是本發(fā)明的整體架構(gòu)圖。
圖2是本發(fā)明的數(shù)據(jù)收集流程圖。
圖3是本發(fā)明的PCA降維流程圖。
圖4是本發(fā)明的神經(jīng)網(wǎng)絡(luò)分類模塊學(xué)習(xí)部分流程圖。
圖5是本發(fā)明的神經(jīng)網(wǎng)絡(luò)分類模塊評(píng)估部分流程圖。具體實(shí)施方案
如圖1中所示為本發(fā)明的整體架構(gòu)圖，包括數(shù)據(jù)收集、PCA降維和神經(jīng)網(wǎng)絡(luò)分類三個(gè)模塊。數(shù)據(jù)收集利用Linux系統(tǒng)管理命令收集入侵相關(guān)的進(jìn)程信息作為手機(jī)入侵特征，再采用PCA對(duì)入侵特征進(jìn)行降維處理，選擇最能反映樣本的特征，最后將降維后的特征引入BP神經(jīng)網(wǎng)絡(luò)分類器進(jìn)行訓(xùn)練，得到最 佳的模型參數(shù)，利用這些參數(shù)對(duì)待測樣本進(jìn)行分類識(shí)別。
如圖2所示實(shí)施例為本發(fā)明的數(shù)據(jù)收集流程圖。數(shù)據(jù)收集模塊主要用于收集相關(guān)軟件或程序的入侵?jǐn)?shù)據(jù)信息。
由于Android內(nèi)核是Linux,故利用Linux的系統(tǒng)管理命令來收集進(jìn)程的信息,利用top命令或者PS命令收集進(jìn)程的CPU占用、進(jìn)程的線程數(shù)、優(yōu)先級(jí)、物理內(nèi)存、虛擬內(nèi)存、UID和進(jìn)程名。除此之外，Android中的API所提供的ActivityManager.MemoryInfo O和ActivityManager.RunningAppProcessInfo O類獲取進(jìn)程占用的系統(tǒng)內(nèi)存和UID號(hào),然后根據(jù)進(jìn)程名的WD號(hào)獲取進(jìn)程的流量使用情況等。
由于基于文件來存取收集到的數(shù)據(jù)將耗費(fèi)大量的程序運(yùn)行時(shí)間，因此采用三維數(shù)組來存取，第一維表示時(shí)間，第二維表示不同的進(jìn)程，第三維是進(jìn)程的信息。考慮到樣本存儲(chǔ)對(duì)收集本身的影響，所以使用定時(shí)器，采取一定時(shí)間間隔的數(shù)據(jù)，構(gòu)建一個(gè)高維矩陣，當(dāng)樣本檢測結(jié)束時(shí)將有java本身的回收機(jī)制處理已使用過的樣本。
如圖3所示實(shí)施例為本發(fā)明的PCA降維流程圖。PCA降維模塊主要是提取最能反映樣本的特征，實(shí)現(xiàn)計(jì)算的簡約化并達(dá)到較好的檢測效果。
主成分分析(PCA)其實(shí)是一種預(yù)處理的方法，它可以降低原本數(shù)據(jù)的維度，并且降低后的數(shù)據(jù)之間方差最大(也可以說投影誤差最小)。假設(shè)是要將一個(gè)D維的數(shù)據(jù)空間投影到M維的數(shù)據(jù)空間中(M < D)，將D數(shù)據(jù)特征值從大到小排列，計(jì)算貢獻(xiàn)率，求出相應(yīng)的特征向量，并取相應(yīng)的前M個(gè)特征向量，構(gòu)成投影矩陣，則此矩陣方差最大。
理論過程是假設(shè)將一個(gè)空間中的點(diǎn)投影到一個(gè)向量中去。首先，計(jì)算原空間的中心點(diǎn):
權(quán)利要求
1.基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，由數(shù)據(jù)收集模塊、PCA降維模塊和神經(jīng)網(wǎng)絡(luò)分類模塊絹成，其特征在于: (1)數(shù)據(jù)收集模塊:利用Linux的系統(tǒng)管理命令及Android中的API所提供的類來收集進(jìn)程的信息，并采用三維數(shù)組和計(jì)時(shí)機(jī)制來存取和管理； (2)PCA降維模塊:與所述數(shù)據(jù)收集模塊相連，采用主成分分析法對(duì)上述收集到的數(shù)據(jù)進(jìn)行降維處理，提取最能反映樣本的特征； (3)神經(jīng)網(wǎng)絡(luò)分類模塊:與所述PCA降維模塊相連，通過對(duì)上述降維后的數(shù)據(jù)進(jìn)行多次學(xué)習(xí)確定模型參數(shù)，再根據(jù)學(xué)習(xí)后的模型參數(shù)執(zhí)行該事件的處理動(dòng)作，并根據(jù)輸出結(jié)果判定是否為異常行為并做出相應(yīng)響應(yīng)。
2.如權(quán)利要求1所述基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，其特征在于:模塊(I)中利用Linux的系統(tǒng)管理命令來收集進(jìn)程的信息，利用top命令或PS命令收集進(jìn)程的的CPU占用、進(jìn)程的線程數(shù)、優(yōu)先級(jí)、物理內(nèi)存、虛擬內(nèi)存、UID和進(jìn)程名，利用 Android 中的 API 所提供的 ActivityManager.MemoryInfo ()和 ActivityManager.AppProcessInfo O類獲取進(jìn)程的占用的系統(tǒng)內(nèi)存和UID號(hào)，然后根據(jù)進(jìn)程名的UID號(hào)，獲取進(jìn)程的流量使用情況。
3.如權(quán)利要求1所述基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，其特征在于:模塊(I)中基于文件來存取數(shù)據(jù)，采用三維數(shù)組來存取，同時(shí)采用定時(shí)器，采集一定時(shí)間間隔的數(shù)據(jù)，構(gòu)建一個(gè)高維矩陣。
4.如權(quán)利要求1所述基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，其特征在于:模塊(2)中采用主成分分析法分析數(shù)據(jù)收集模塊收集到的數(shù)據(jù)，并根據(jù)需要確定閾值為95%。
5.如權(quán)利要求1所述基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，其特征在于:模塊(3)中對(duì)所建模型的各參數(shù)賦予相應(yīng)的值，該值根據(jù)所收集的大量數(shù)據(jù)通過多次實(shí)驗(yàn)及統(tǒng)計(jì)學(xué)計(jì)算得到。
6.如權(quán)利要求1所述基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，其特征在于:模塊(3)中將安全系數(shù)分為兩個(gè)等級(jí)，根據(jù)輸出結(jié)果與預(yù)設(shè)閾值(通過大量數(shù)據(jù)的統(tǒng)計(jì)計(jì)算得到閾值為0.4)的比較判斷 某一行為屬于哪一等級(jí)，如果輸出結(jié)果小于預(yù)設(shè)閾值，則判定為異常，并提示用戶終止執(zhí)行該程序或卸載該軟件，否則判定為正常，將不做處理。
全文摘要
本發(fā)明涉及一種基于Android平臺(tái)軟件行為檢測的主動(dòng)防御系統(tǒng)，主動(dòng)防御手機(jī)的安仝威脅。該系統(tǒng)包括利用top命令或PS命令及Android中的API所提供的ActivityManager.MemoryInfo()和ActivityManager.AppProcessInfo()收集進(jìn)程數(shù)據(jù)；利用主成分分析法對(duì)收集到的數(shù)據(jù)進(jìn)行分析，提取最能反映樣本的特征，將樣本送入神經(jīng)網(wǎng)絡(luò)模型；隨機(jī)選取一部分樣本進(jìn)行學(xué)習(xí)，得到模型參數(shù)，作為評(píng)估部分模型參數(shù)，從而對(duì)待測樣本進(jìn)行評(píng)估，判斷是否正常，進(jìn)而判斷某一進(jìn)程是否異常。本發(fā)明將PCA降維與BP神經(jīng)網(wǎng)絡(luò)相結(jié)合的方式引入于機(jī)，從而降低了傳統(tǒng)BP神經(jīng)網(wǎng)絡(luò)的計(jì)算量和存儲(chǔ)量，使其在手機(jī)這種計(jì)算能力和存儲(chǔ)能力都有限的移動(dòng)設(shè)備上得到很好的實(shí)現(xiàn)，保證了手機(jī)安全。
文檔編號(hào)G06F21/57GK103218566SQ20131003239
公開日2013年7月24日 申請(qǐng)日期2013年1月25日 優(yōu)先權(quán)日2013年1月25日
發(fā)明者余丹, 孫子文, 李金陽, 郭晶, 葉永昆 申請(qǐng)人:江南大學(xué)