BR102018009944A2

BR102018009944A2 - método para detectar aplicativos de terminais de usuário móveis

Info

Publication number: BR102018009944A2
Application number: BR102018009944-2A
Authority: BR
Inventors: Julia Llanos Alonso; Antonio Guzmán Sacristán; José María Alonso Cebrián
Original assignee: Telefonica, S.A.
Priority date: 2017-05-16
Filing date: 2018-05-16
Publication date: 2018-12-04
Also published as: EP3404938A1; EP3404938B1; US10334065B2; US20180338010A1; ES2821967T3

Abstract

um método para detectar aplicativos dos terminais de usuário móveis, compreendendo - analisar os arquivos de um aplicativo para obter os domínios de suas solicitações e dividir cada domínio em palavras para gerar uma assinatura de aplicativo (1), - ponderar (2) as palavras para obter a sua frequência, - dividir o tráfego móvel (3) em blocos de tráfego e dividir cada bloco de tráfego (4) em palavras, - gerar um vetor de tráfego para cada bloco, incluindo suas palavras e a repetição ou frequência (5) de cada palavra no bloco, - comparar os vetores de tráfego gerados com a assinatura gerada (1) aplicando o método de similaridade (6) para obter o número de vezes que a assinatura (1) de cada aplicativo é detectada nos vetores de tráfego de um terminal móvel, - estimar uma probabilidade (7) de um usuário ter cada aplicativo instalado no terminal móvel, - aplicar um limiar (8) na probabilidade (7) para descartar aplicativos erroneamente detectados.

Description

(54) Título: MÉTODO PARA DETECTAR APLICATIVOS DE TERMINAIS DE USUÁRIO MÓVEIS (51) Int. Cl.: G06F 21/50; H04W 8/18.

(52) CPC: G06F 21/50; H04W 8/18; H04L 67/22.

(30) Prioridade Unionista: 16/05/2017 EP 17382279.2.

(71) Depositante(es): TELEFÔNICA, S.A..

(72) lnventor(es): JULIA LLANOS ALONSO; ANTONIO GUZMÁN SACRISTÁN; JOSÉ MARÍA ALONSO CEBRIÁN.

(57) Resumo: Um método para detectar aplicativos dos terminais de usuário móveis, compreendendo - analisar os arquivos de um aplicativo para obter os domínios de suas solicitações e dividir cada domínio em palavras para gerar uma assinatura de aplicativo (1), - ponderar (2) as palavras para obter a sua frequência, - dividir o tráfego móvel (3) em blocos de tráfego e dividir cada bloco de tráfego (4) em palavras, - gerar um vetor de tráfego para cada bloco, incluindo suas palavras e a repetição ou frequência (5) de cada palavra no bloco, - comparar os vetores de tráfego gerados com a assinatura gerada (1) aplicando o método de similaridade (6) para obter o número de vezes que a assinatura (1) de cada aplicativo é detectada nos vetores de tráfego de um terminal móvel, - estimar uma probabilidade (7) de um usuário ter cada aplicativo instalado no terminal móvel, aplicar um limiar (8) na probabilidade (7) para descartar aplicativos erroneamente detectados.

1/8

Relatório Descritivo da Patente de Invenção: “MÉTODO PARA DETECTAR APLICATIVOS DE TERMINAIS DE USUÁRIO MÓVEIS”

DESCRIÇÃO

Campo da Invenção [001] A presente invenção tem sua aplicação dentro do setor de telecomunicação, mais especificamente, se refere a análise do tráfego de usuário móvel.

[002] Mais particularmente, a presente invenção refere-se a um método para detectar a partir de aplicativos de tráfego móvel (apps) dos terminais de usuário móvel (smartphones, tablets, etc.).

Antecedentes da Invenção [003] Os smartphones oferecem aos usuários a possibilidade de instalar neles quaisquer aplicativos (apps) que decidirem (além dos aplicativos pré-instalados). Esses aplicativos pertencem a categorias como entretenimento, esportes, produtividade, viagens.... Portanto, aplicativos instalados em um determinado smartphone fornecem informações úteis sobre seu perfil de usuário, para serem entendidos como o conjunto de hábitos e preferências de uma pessoa.

[004] Esses aplicativos exigem conexão com a Internet para tarefas como atualização de conteúdo ou autorização de acesso. O conjunto de consultas ou solicitações enviadas para recuperar dados da Internet é aqui definido como tráfego. Sendo um protocolo um conjunto de regras predefinidas que define a maneira de transferir informações, as informações das solicitações podem variar dependendo do protocolo usado. Exemplos de informações exibidas nas solicitações são: IP de origem, data e hora da solicitação, domínio ou agente do usuário. Os últimos conceitos, domínio e agente do usuário, são definidos da seguinte maneira:

• Domínio é o nome exclusivo que identifica um site na Internet.

• Agente do usuário inclui informações sobre vários aspectos, como: fonte do aplicativo, sistema operacional do dispositivo ou versão de software. Deve ser enfatizado que nem todo protocolo inclui o campo do agente do usuário.

Petição 870180140130, de 10/10/2018, pág. 5/14

2/8 [005] Os smartphones experimentaram recentemente um crescimento exponencial em termos de número de usuários e horas gastas com eles. Nesse contexto, o conhecimento de aplicativos usados por um cliente permitirá definir precisamente seu perfil. Um perfil de usuário correto é a chave para o sucesso em vários casos de uso, como sistemas de recomendação, proteção contra possíveis ameaças de segurança (aplicativos maliciosos) ou análise estatística, conforme definido a seguir:

• Sistemas de recomendação: Esses sistemas estão presentes em diversas áreas, como cinema, música ou compras. Eles pretendem prever os interesses do usuário, ou seja, o perfil do usuário, nessas áreas usando informações de sua atividade. Com base nessas previsões, eles fornecem recomendações aos usuários sobre elementos que correspondem aos seus interesses. Quanto mais precisas as previsões, melhor as recomendações.

• Aplicativos maliciosos: Aplicativos classificados como maliciosos são, por exemplo, aqueles que enganam os usuários em pagamentos ou assinaturas indesejadas.

• Análise estatística: Análise sobre perfis de usuários e sua distribuição, que podem orientar, por exemplo, outras decisões comerciais ou de investimento. [006] Os Operadores de Rede Móvel (MNOs) podem obter informações necessárias para definir o perfil de usuários do tráfego móvel. Uma solicitação é gerada toda vez que um usuário móvel interage com um aplicativo em seu smartphone. A solicitação passa pela infraestrutura de MNO, que tanto a armazena em um banco de dados como a envia para a Internet. Os dados armazenados no banco de dados do MNO são informações simplificadas de solicitações HTTP e DNS. O Protocolo de Transferência de Hipertexto (HTTP) é um protocolo para transferência de arquivos de hipermídia. O Sistema de Nomes de Domínio (DNS) é um sistema de nomes para clientes ou serviços conectados à Internet ou a uma rede privada. O DNS associa um nome de domínio a um endereço de protocolo de internet (IP). As informações armazenadas no banco de dados são o domínio e a data e hora da

Petição 870180140130, de 10/10/2018, pág. 6/14

3/8 solicitação, ou seja, a URL completa não é consultada em nenhum caso. Além disso, todos os dados armazenados são anônimos.

[007] Existem abordagens para analisar o tráfego móvel com base nas informações do domínio. No entanto, a relação entre domínios e aplicativos não é bijetiva. Domínios exclusivos, isto é, domínios acessados exclusivamente por um aplicativo, são menos frequentes. Em vez disso, existem alguns domínios acessados por muitos aplicativos. No último caso, o conhecimento do domínio não define univocamente o aplicativo.

[008] Existem também abordagens para analisar o tráfego móvel com base no agente de usuário. O agente do usuário apresenta duas principais desvantagens: nem todas as petições de HTTP têm valor do agente do usuário, e os desenvolvedores de aplicativos decidem o valor do campo do agente do usuário, para que possam usar o agente do usuário de outro aplicativo em vez de definir o próprio.

[009] Finalmente, há uma grande variabilidade nas solicitações de um aplicativo concreto. É devido, entre outros, aos diferentes sistemas operacionais ou dispositivos de usuários móveis (smartphones, tablets). Até mesmo diferentes execuções do mesmo aplicativo no mesmo terminal não mantêm a mesma ordem de solicitação. Alguns problemas relacionados à variabilidade de solicitações são, para citar apenas alguns: a solicitação pode ser armazenada em cache, as latências entre as solicitações variam dependendo do uso do celular, a lista de domínios consultados por um aplicativo pode variar entre os dispositivos ou o conteúdo dinâmico inclui ruído nas execuções.

[010] Portanto, é altamente desejável desenvolver um método de detecção de aplicativos a partir do tráfego móvel que permita que os MNOs obtenham um perfil de usuário mais preciso.

Sumário da invenção [011] A presente invenção resolve os problemas acima mencionados e supera limitações de trabalho do estado da técnica já explicadas, fornecendo um método para detectar aplicativos (apps) baixados e/ou usados por um usuário em seu terminal

Petição 870180140130, de 10/10/2018, pág. 7/14

4/8 móvel (por exemplo, um smartphone, tablet, etc). A detecção de aplicativos é baseada na análise de informações de domínio coletadas do tráfego do usuário móvel. Mais particularmente, o método de detecção de aplicativos usa uma análise de domínios por palavras considerando sua frequência e, portanto, o método é independente do dispositivo e ordem de solicitação.

[012] Um aspecto da presente invenção refere-se a um método para detectar aplicativos de usuários móveis, os aplicativos gerando uma série de arquivos associados a um ou mais terminais de usuário móveis e cada terminal de usuário móvel envolvido na geração de tráfego de usuário móvel, que compreende as seguintes etapas:

- analisar a série de arquivos para obter o conjunto de domínios da Internet para os quais solicitações a partir de um aplicativo são feitas e dividir cada domínio obtido em uma lista de palavras que gera uma assinatura do aplicativo,

- ponderar as palavras da assinatura gerada para obter uma frequência de cada palavra,

- dividir o tráfego de usuário móvel de cada terminal de usuário móvel em blocos de tráfego, cada bloco de tráfego sendo um conjunto de domínios solicitados em um intervalo de tempo e dividindo cada bloco de tráfego em palavras;

- gerar um vetor de tráfego para cada bloco de tráfego, incluindo as palavras do bloco de tráfego e a frequência de cada palavra de acordo com sua repetição no bloco de tráfego,

- comparar os vetores de tráfego gerados com a assinatura gerada de cada aplicativo, aplicando o método de similaridade de cosseno e obtendo, através desta comparação, um número de vezes que a assinatura gerada de cada aplicativo é detectada nos vetores de tráfego gerados de um terminal de usuário móvel.

[013] A presente invenção tem várias vantagens em relação à técnica anterior, que podem ser resumidas da seguinte forma:

- O método proposto perfila um usuário com mais precisão e isso é útil para propor com sucesso por um sistema de recomendação, por exemplo, um caso

Petição 870180140130, de 10/10/2018, pág. 8/14

5/8 de uso concreto da invenção poderia ser um recomendador de aplicativos.

- A invenção permite a detecção de aplicativos maliciosos para que o usuário possa evitá-los ou, pelo menos, entender os riscos.

- A invenção permite que os usuários sejam perfilados por meio do conhecimento das categorias dos aplicativos em seus smartphones e da frequência de seu uso. A análise estatística desses perfis de usuários pode levar a mais decisões comerciais ou de investimento com base nos aplicativos dos usuários.

- O método proposto é executado usando apenas o tráfego DNS e HTTP, especificamente o domínio das solicitações.

- Cada módulo da proposta (coleta de tráfego isolado por aplicativo, geração de assinaturas, análise de tráfego, avaliação...) pode ser automatizado para ser um sistema de retroinformação.

- O método é robusto à incoerência temporal na ordem de chegada das solicitações.

- O método é projetado para aprendizado, melhorando a precisão da detecção de aplicativos do telefone.

- O método pode funcionar em tempo real ou em batelada (ou seja, em tempo não real).

[014] Estas e outras vantagens serão evidentes à luz da descrição detalhada da invenção.

Descrição dos desenhos [015] Com o objetivo de ajudar a compreender as características da invenção, de acordo com uma modalidade prática preferida e de modo a complementar esta descrição, as figuras a seguir estão anexadas como parte integrante da mesma, tendo um caráter ilustrativo e não limitador.

[016] A Figura 1 mostra um fluxograma de um método para detectar aplicativos no tráfego móvel, de acordo com uma modalidade preferencial da invenção.

Modalidade preferencial da invenção [017] As questões definidas nesta descrição detalhada são fornecidas para

Petição 870180140130, de 10/10/2018, pág. 9/14

6/8 auxiliar na compreensão abrangente da invenção. Por conseguinte, aqueles versados na técnica reconhecerão que as alterações de variação e modificações das modalidades aqui descritas podem ser feitas sem que se desvie do espírito e escopo da invenção. Além disso, a descrição de funções e elementos conhecidos é omitida para maior clareza e concisão.

[018] Naturalmente, as modalidades da invenção podem ser implementadas em uma variedade de plataformas de arquitetura, sistemas operacionais e de servidor, dispositivos, sistemas ou aplicativos. Qualquer layout ou implementação de arquitetura específica aqui apresentada é fornecida para fins de ilustração e compreensão apenas e não pretende limitar aspectos da invenção.

[019] A Figura 1 apresenta um fluxograma principal das etapas do método, dividido em oito etapas principais:

- Etapa 1, Gerar assinaturas (1): Cada aplicativo gera uma série de arquivos, arquivos gerados com tráfego isolado, várias vezes e com vários dispositivos. Todas as amostras são agrupadas para cada aplicativo e o método analisa esses arquivos da série. De cada grupo associado a um aplicativo, apenas os domínios para os quais as solicitações são feitas pelo aplicativo são considerados. Todo domínio é dividido para obter uma lista de palavras que representam cada aplicativo. A lista de palavras correspondentes a cada aplicativo é definida aqui como a assinatura do aplicativo.

- Etapa 2, Executar os cálculos de algoritmo de ponderação (2) nas assinaturas geradas: palavras na assinatura são ponderadas, a faixa de pesos sendo 0-1. Pesos mais altos são atribuídos às palavras mais frequentes e significativas.

- Estágio 3, Divida o tráfego real (3) em intervalos de tempo por usuário: o tráfego do usuário é dividido em blocos. A divisão é realizada atendendo aos critérios temporais, ou seja, um bloco é formado com o tráfego móvel em um intervalo de tempo específico. Os blocos são analisados ainda em busca do aplicativo predominante.

- Estágio 4, Dividir cada bloco de tráfego (4) em palavras: cada bloco de tráfego é um conjunto de domínios consultados em um intervalo de tempo. Os

Petição 870180140130, de 10/10/2018, pág. 10/14

7/8 domínios são aqui divididos, usando o ponto como o critério de divisão. Portanto, o bloco de tráfego é agora um conjunto de palavras. A repetição é permitida.

- Estágio 5, Gerar vetores de tráfego executando cálculos de frequência (5) em cada intervalo: o bloco de tráfego é aqui reduzido a um vetor incluindo palavras e sua frequência atendendo a sua repetição no bloco.

- Etapa 6, Aplicar a similaridade (6) em cada intervalo e assinaturas: vetores de tráfego são aqui comparados contra assinaturas de aplicativos através do método de similaridade de cosseno conhecido (descrito, por exemplo, por Li, B. et al. em “Distance weighted cosine similarity measure for textclassification”, Intelligent Data Engineering e Automated Learning - IDEAL, volume 8206 de Lecture Notes in Computer Science, Springer, pp. 611 -618,2013). O valor máximo para uma assinatura de aplicativo resulta na definição de um valor de aplicativo de usuário de termo para esse bloco. Uma lista de termos é gerada para o tráfego.

- Estágio 7, Estimar a probabilidade (7) de um usuário ter cada aplicativo: a probabilidade de um usuário ter um aplicativo instalado é estimada com base nas evidências do resultado anterior. Essas evidências são o número de vezes que o aplicativo foi detectado e a probabilidade, ou seja, o resultado de similaridade de cada detecção.

- Estágio 8, Aplicar limiar (8) no resultado: resultados irrelevantes devem ser descartados. Para este objetivo, um limiar (valor de probabilidade mínima necessário) é fixado, evitando que os resultados de baixa probabilidade sejam considerados. O limiar é fixado por meio do valor máximo de F1, F1 sendo uma das medidas F descritas por Powers, D. M. em “Evaluation: from precision, recall and Fmeasure to ROC, informedness, markedness and correlation (Journal of Machine Learning Technologies, Vol. 2, No. 1., pp. 37-63, 2011). A medida F1 é definida em termos de precisão e recuperação para a avaliação do modelo. A precisão mede a fração de aplicativos de usuário de tuplas detectada com sucesso em relação àqueles detectados incorretamente. A recuperação mede a fração de aplicativos de usuário de tuplas detectada com sucesso em relação àqueles não detectados.

Petição 870180140130, de 10/10/2018, pág. 11/14

8/8 [020] A solução em tempo real pré-calcula os dois primeiros estágios. Por exemplo, em um caso de uso em tempo real em que um usuário deseja saber quais aplicativos podem ser detectados em seu smartphone, uma implementação possível pode ser descrita da seguinte maneira:

- A cada conjunto de tempo, por ex. 5 minutos, o método coleta automaticamente o tráfego gerado desde a verificação anterior. Os estágios 3 a 6 da Figura 1 são aplicados a esse tráfego, resultando em uma lista de termos de valor de aplicativo de usuário.

- O estágio 7 é executado na lista de termos. Os resultados desse estágio são as probabilidades estimadas dos aplicativos serem instalados no smartphone de destino, considerando apenas esses 5 minutos de tráfego. Eles são armazenados no banco de dados para a combinação final. Os resultados de todos os Estágios 7 para todo o tráfego são combinados recentemente, obtendo um conjunto final de aplicativos e suas probabilidades associadas.

- Neste ponto, entra em cena uma função de decaimento, que é responsável por reduzir o valor resultante da probabilidade, observando a ausência de evidência. Inclui um fator temporal na estimativa de probabilidade, ponderando positivamente as evidências mais recentes e vice-versa.

- Ao procurar pelos aplicativos instalados no smartphone analisado, as probabilidades são limitadas. O limiar foi fixado no processo de treinamento, procurando maximizar os aplicativos detectados e evitando falsos positivos.

[021] Observe que neste texto, o termo compreende e suas derivações (como compreendendo, etc.) não deve ser entendido em um sentido excludente, ou seja, esses termos não devem ser interpretados como excluindo a possibilidade de que o que está descrito e definido pode incluir outros elementos, etapas, etc.

Petição 870180140130, de 10/10/2018, pág. 12/14

1/2

Claims

REIVINDICAÇÕES

1. Método para detectar aplicativos de terminais de usuário móveis, em que cada aplicativo gera uma série de arquivos associados a pelo menos um terminal de usuário móvel que gera tráfego de usuário móvel, a série de arquivos compreendendo solicitações para um conjunto de domínios da Internet, o método caracterizado por compreender:

- analisar a série de arquivos para obter o conjunto de domínios da Internet para os quais solicitações a partir de um aplicativo são feitas e dividir cada domínio obtido em uma lista de palavras que gera uma assinatura (1) do aplicativo,

- ponderar (2) as palavras da assinatura gerada (1) para obter uma frequência de cada palavra,

- dividir o tráfego de usuário móvel (3) em blocos de tráfego, cada bloco de tráfego sendo um conjunto de domínios solicitados em um intervalo de tempo e dividindo cada bloco de tráfego (4) em palavras;

- gerar um vetor de tráfego para cada bloco de tráfego, incluindo as palavras do bloco de tráfego e a frequência (5) de cada palavra de acordo com sua repetição no bloco de tráfego,

- comparar os vetores de tráfego gerados com a assinatura gerada (1) de cada aplicativo, aplicando o método de similaridade de cosseno (6) para obter um número de vezes que a assinatura gerada (1) de cada aplicativo é detectada nos vetores de tráfego gerados, associados a pelo menos um terminal de usuário móvel.
2. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que aplicar o método de similaridade (6) resulta em um termo formado pela assinatura (1) do aplicativo, o usuário e um valor de similaridade.
3. Método, de acordo com qualquer uma das reivindicações 1 a 2, caracterizado por compreender ainda:

- estimar uma probabilidade (7) de um usuário ter cada aplicativo instalado no terminal de usuário móvel.
4. Método, de acordo com qualquer uma das reivindicações 2 a 3,

Petição 870180140130, de 10/10/2018, pág. 13/14

2/2 caracterizado pelo fato de que a estimativa da probabilidade (7) é aplicada no termo que resultou do método de similaridade.
5. Método, de acordo com qualquer uma das reivindicações 3 a 4, caracterizado por compreender ainda:

- aplicar um limiar de probabilidade mínimo (8) à probabilidade estimada (7) para distinguir um aplicativo detetado com êxito de um aplicativo detetado de forma incorreta, o aplicativo detectado com êxito tendo uma probabilidade estimada (7) que excede o limiar mínimo de probabilidade (8).
6. Método, de acordo com a reivindicação 5, caracterizado pelo fato de que o limiar é definido por meio de uma maximização da medida F1.
7. Método, de acordo com qualquer uma das reivindicações 1 a 6, caracterizado pelo fato de que a divisão do domínio obtido em palavras usa o ponto como o critério de divisão.
8. Produto de programa de computador, caracterizado pelo fato de compreender meios de código de programa de computador adaptados para realizar todas as etapas do método como definido em qualquer uma das reivindicações 1 a 7.

Petição 870180140130, de 10/10/2018, pág. 14/14

1/1