CN102647409A - 基于Android智能手机的应用程序行为状态转换模式识别方法 - Google Patents

Abstract

基于Android智能手机的应用程序行为状态转换模式识别方法，属于手机安全领域，具体涉及一种应用程序行为状态转换模式识别方法。为了解决现有技术的检测不能识别应用是否被感染病毒，不能将隐藏的安全隐患进行有效检测的问题。过程为：系统监听模块对状态进行拦截，并进行过滤、转换，记录生成的复合状态序列送入数据中心模块；行为学习模块读取待学习序列和初始模型，重复学习以收敛标准结束，将结果存入数据中心模块；行为检测模块设置检测策略，如果是已知类型应用，选择HMM进行一次完整评估，如果是未知类型应用，检测是否含有不安全行为，利用所有代表恶意行为的HMM进行多次完整评估，输出结果。用于智能手机安全检测。

Description

基于Android智能手机的应用程序行为状态转换模式识别方法

技术领域

本发明属于手机安全领域，具体涉及一种基于Android智能手机的应用程序行为状态转换模式识别方法。

背景技术

手机这种特别的移动设备的特性给手机安全带来了很多的障碍，计算能力、存储能力、电池供应能力、网络互连能力的限制都给传统技术，特别是从传统PC(personal computer，个人计算机)上借鉴来的技术在智能手机上的因地制宜带来了困难。比如基于特征码匹配的检测，由于智能手机的计算能力与存储能力，只能将任务进行分布式处理，这样又将受到网络互连能力的制约。在病毒的行为方式越来越隐蔽，越来越不同于现有的经验规则时，对不断增加的新的应用，传统的静态或者动态检测方法都将无法一一验证其是否含有恶意的行为，这时需要借助人工智能的手段来对病毒或者正常应用甚至是用户的行为进行认知。

借助人工智能等方式对安全进行检测的方法，一般是通过挖掘应用和用户交互的行为模式的基础上加以建模和利用的。如Bose等人就设计了一个算法来自动识别智能手机用户与无线网络之间的交互，通过对这种交互行为的识别，能够发现识别可疑的手机，并将这样的手机限制在一套网络互连的约束内。再比如PBMDS系统则通过拦截和分析用户键盘输入来挖掘用户和手机交互的行为方式并通过HMM(Hidden Markov Model，隐马尔可夫)模型进行描述取得了很好的检测手机病毒的效果。作为时下发展最快最火的智能手机平台，Android平台上的应用行为模式挖掘的研究才刚刚起步，并没有成熟可用的应用行为检测模型，安全检测技术大都针对已知的安全隐患，如基于静态特征匹配(结合云计算的思想)能够识别已知的正常应用是否被感染，再如基于平台的监控技术可以实现应用防火墙来进行手机安全的护航。这些技术在一定程度上控制了恶意行为的感染和传播，但是对于将恶意行为巧妙的进行隐藏(如将恶意行为需要的权限隐藏在同样需要该权限的应用中)后带来的未知安全隐患的检测就无能为力了，这时正需要从另一层面对恶意行为进行识别，通过比对原始的正常行为来发现未知的安全隐患。

发明内容

本发明是为了解决现有的技术对Android平台上的应用行为模式的检测技术不能够识别应用是否被感染病毒，不能将恶意隐藏的安全隐患进行有效检测的问题，提出的基于Android智能手机的应用程序行为状态转换模式识别方法。

本发明的基于Android智能手机的应用程序行为状态转换模式识别方法，其具体过程为：

步骤1、系统监听模块按照时间间隔，对系统状态进行拦截，对拦截信息进行过滤、转换，并记录生成的复合状态序列，然后将复合状态序列送入到数据中心模块；

步骤2、行为学习模块从数据中心模块读取待学习的序列以及初始模型，通过重复的学习，并以一定收敛标准结束，将学习的结果存入到数据中心模块，学习的结果即为该类应用的HMM；

步骤3、行为检测模块根据待检测应用类型设置检测策略，如果是已知类型的应用，选择相应的HMM进行一次完整的序列评估，获得检测结果，如果是未知类型的应用，首先检测待检测应用类型中是否含有不安全的行为，利用所有代表恶意行为的HMM进行多次完整序列评估，并最终输出检测结果。

本发明提出的基于Android智能手机的应用程序行为状态转换模式识别方法通过对基于Android智能手机平台上的应用程序在运行时的行为状态转换模式以及系统特征变化的分析，利用HMM来刻画应用行为状态转换所表现出来的模式，在此基础上对基于Android平台上一些类别的应用在运行时表现的行为状态转换模式进行学习，并利用学习后的模型对未知应用进行行为检测，通过该方法可以对基于Android智能手机平台上应用行为进行安全监测，识别应用是否被感染病毒，还可以有效检测恶意隐藏的安全隐患。

附图说明

图1是本发明的系统架构图；图2是系统监听模块对复合状态的捕捉过程流程图；图3是本发明的行为学习模块对应用行为模式的学习过程流程图；图4是本发明的行为检测模块对应用行为的检测过程流程图。

具体实施方式

具体实施方式一、结合图1说明本实施方式，基于Android智能手机的应用程序行为状态转换模式识别方法，其具体方法为：

步骤1、按照时间间隔，系统监听模块对系统状态进行拦截，对拦截信息进行过滤、转换，并记录生成的复合状态序列，然后将复合状态序列送入到数据中心模块；

步骤2、行为学习模块从数据中心模块读取待学习的序列以及初始模型，通过重复的学习，并以一定收敛标准结束，将学习的结果存入到数据中心模块，学习的结果即为该类应用的HMM；

步骤3、行为检测模块根据待检测应用类型设置检测策略，如果是已知类型的应用，选择相应的HMM进行一次完整的序列评估，获得检测结果，如果是未知类型的应用，首先检测待检测应用类型中是否含有不安全的行为，利用所有代表恶意行为的HMM进行多次完整序列评估，并最终输出检测结果。

具体实施方式二、结合图1说明本实施方式，本实施方式与具体实施方式一的区别在于：步骤1所述的系统监听模块利用交互控制模块配置监听参数，并对系统各模块的运行进行控制。

本实施方式中，交互控制模块5用来配置一些监听参数，并对系统各模块的运行进行控制，如用户可以打开SMS(Short Messaging Service)应用程序进行一些操作，启动系统监听模块在后台拦截SMS的行为状态信息，并对信息进行组合形成原始的复合状态U，用户还可以重复此过程，来监听多个短信程序运行行为，这些应用程序必须都是拥有正常应用行为的短信类应用程序，即它们拥有相对一致的行为模式，当监听数据足以描述所有应用的行为模式时，用户可以进行下一步，如应用行为的学习或者检测。

具体实施方式三、结合图2说明本实施方式，本实施方式与具体实施方式一的区别在于，所述步骤1的具体过程为：

步骤1.1、启动系统监听模块，用户设置监听参数：启动监听组件，监听应用运行时反应到系统的状态；设置监听的参数，包括监听的时间间隔的时间参数和应用名称；

步骤1.2、判断是否继续监听，如果是，则执行步骤1.3，如果否，则生成观测序列同步到数据中心模块；

步骤1.3、获取被监听应用对应的系统状态信息：包括组成复合状态的各要素，栈顶组件类型、应用当前状态、应用CPU和内存耗费情况；

步骤1.4、判断被监听的信息是否过滤，如果是，则执行步骤1.2，如果否，则执行步骤1.5；

步骤1.5、将捕捉的信息组合生成一个复合状态，并按时间顺序记录成一串复合状态序列，完成后返回步骤1.2。

具体实施方式四、本实施方式与具体实施方式三的区别在于：步骤1.4中所述监听信息过滤的规则为：

第一、没有意义的状态：如{A1，I5，C5，M3}表示应用未启动，但是同时应用包含的一个任务的栈顶为A1类型的组件，且当前应用耗费内存增加，CPU耗费大，显然这样的复合状态是不可能存在的。

第二、实验统计中不出现或者出现概率小于0.1的状态：这些状态要酌情筛选，不出现或者出现很少的状态也可能是病毒行为模式描述的关键。

第三、不能有效刻画复合行为的状态：如在大多数应用中的共性行为，可以进行过滤，以将模型集中在对描叙应用特有、用户特有、恶意组件特有的行为模式上来。

第四、显状态集合V应该是相对于S集合产生V集合的一个相对完备最小的集合。

具体实施方式五、结合图3说明本实施方式，本实施方式与具体实施方式一的区别在于：所述步骤2的具体过程为：

步骤2.1、启动行为学习模块，用户设置学习参数，并从数据中心模块中读取待学习的复合状态序列；

步骤2.2、开始一次完整的学习，读取所有的待测序列，统计各状态间转换的规律，根据统计的结果修改和学习模型参数；

步骤2.3、判断模型的学习结果是否收敛到一个稳定结果，如果是，将学习后的HMM同步到数据中心模块，如果否，则返回步骤2.2。

本实施方式中，步骤2.2中所述学习和修改模型参数采用的算法是Baum-Welch算法，Baum-Welch算法基于最大似然估计的思想，通过递归的方式对HMM＝(A，B，π)的参数进行修改。

具体实施方式六、本实施方式与具体实施方式五的区别在于：所述步骤2.3中判断模型的学习结果是否收敛到一个稳定结果的判断标准为：用学习完的模型对所有符合序列进行评估，将所有评估结果取平均值，即获得学习完成后的模型对样本的一个认知度，设定一个上限，当相邻两次模型的认知度之差小于这个上限时，学习结果已经收敛到了一个稳定的结果，当相邻两次模型的认知度之差大于这个上限时，学习结果没有收敛到一个稳定的结果。

具体实施方式七、结合图4说明本实施方式，本实施方式与具体实施方式一的区别在于：所述步骤3的具体过程为：

步骤3.1、启动行为检测模块，用户设置检测参数，从数据中心模块读取待测应用的复合状态序列，读取指定的HMM；

步骤3.2、从步骤3.1读取的复合状态序列中依次取出一条复合状态序列，

步骤3.3、用步骤3.1读取的HMM对取出的一条复合状态序列进行评估，判断评估结果是否正常，如果是则执行步骤3.4，如果否则执行步骤3.2；

步骤3.4、根据评估结果进行综合评估，输出检测结果。

具体实施方式八、本实施方式与具体实施方式七的区别在于：步骤3.3所述的判断评估结果是否正常的方法为：采用Forward Algorithm，前向算法的原理获取递归形式进行求解，将计算获得的概率值与预先设定的一个阈值进行比较，如果在阈值范围内，则该序列评估结果正常，否则异常。

具体实施方式九、本实施方式与具体实施方式七的区别在于：步骤3.4所述综合评估的标准为：任何一组复合状态序列中至少有一条异常序列，则该组序列代表的应用行为异常。

工作原理：基于Android智能手机的应用程序行为状态转换模式识别方法的系统包括数据中心模块1、系统监听模块2、行为学习模块3、行为检测模块4、交互控制模块5，数据中心模块1的监听配置信号输出端与系统监听模块2的监听配置信号输入端相连接，系统监听模块2的序列输出端与数据中心模块1的序列输入端相连接，数据中心模块1的序列输出端与行为学习模块3的序列输入端相连接。

数据中心模块1主要用于存放系统中学习样本序列、检测样本序列以及学习后的HMM模型。

样本序列是指复合状态序列，复合状态是通过对应用程序运行时系统资源变化情况进行组合构建而成，该复合状态的序列可以间接描写应用行为的状态转换。如下对复合状态进行简单的定义：V＝{V1，V2，V3，V4……Vm}。其中每一个VX＝{AX，IX，CX，MX}；AX表示当前处于任务的活动栈栈顶的那个活动组件，IX表示应用当前所处的状态，CX表示应用对CPU当前的耗费程度，MX表示应用对内存当前占用的变化情况。且AX∈{A1，A2……Ai}；IX∈{I1，I2，I3，I4，I5}；CX∈{C1，C2，C3，C4，C5}；MX∈{M1，M2，M3}。这里AX所属的集合可以进行扩展定义，表示不同类型的界面，如控制流转界面类型(对应SMS中的会话列表界面)、交互界面类型(对应SMS中的会话界面)等等。

系统监听模块2按照一定的时间间隔，对特定应用程序运行时的各系统状态进行拦截，并对拦截信息进行过滤、转换、记录，然后将最终生成复合状态序列送入到数据中心模块1；行为学习模块3从数据中心模块1读取待学习的序列以及初始模型，通过重复的学习，并以一定收敛标准结束，将学习的结果(即该类应用的HMM)存入到数据中心模块1，该学习的结果蕴含着该类应用程序的行为模式；行为检测模块4需要根据待检测应用类型设置一定的检测策略，如果是已知类型的应用只需要选择相应的HMM进行一次完整的序列评估即可获得检测结果。如果是未知类型的应用，需要检测其中是否含有不安全的行为，因此要利用所有代表恶意行为的HMM进行多次完整序列评估，并最终输出检测结果；交互控制模块5用来配置一些监听参数，并对系统各模块的运行进行控制，如用户可以打开SMS应用程序进行一些操作，启动系统监听模块在后台拦截SMS的行为状态信息，并对信息进行组合形成原始的复合状态U，用户还可以重复此过程，来监听多个短信程序运行行为(这些应用程序必须都是拥有正常应用行为的短信类应用程序，既它们拥有相对一致的行为模式)，当监听数据足以描述所有应用的行为模式时，用户可以进行下一步，如应用行为的学习或者检测。

Claims (9)

1.基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：该方法的具体过程为：

步骤1、按照时间间隔，系统监听模块对系统状态进行拦截，对拦截信息进行过滤、转换，并记录生成的复合状态序列，然后将复合状态序列送入到数据中心模块；

步骤2、行为学习模块从数据中心模块读取待学习的序列以及初始模型，通过重复的学习，并以一定收敛标准介绍，将学习的结果存入到数据中心模块，学习的结果即为该类应用的HMM；

步骤3、行为检测模块根据待检测应用类型设置检测策略，如果是已知类型的应用，选择相应的HMM进行一次完整的序列评估，获得检测结果；如果是未知类型的应用，首先检测待检测应用类型中是否含有不安全的行为，利用所有代表恶意行为的HMM进行多次完整序列评估，并最终输出检测结果。

2.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤1所述的系统监听模块利用交互控制模块配置监听参数，并对系统各模块的运行进行控制。

3.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤1的具体过程为：

步骤1.1、启动系统监听模块，用户设置监听参数：启动监听组件，监听应用运行时反应到系统的状态；设置监听的参数，包括监听的时间间隔的时间参数和应用名称；

步骤1.2、判断是否继续监听，如果是，则执行步骤1.3，如果否，则生成观测序列同步到数据中心模块；

步骤1.3、获取被监听应用对应的系统状态信息：包括组成复合状态的各要素，栈顶组件类型、应用当前状态、应用CPU和内存耗费情况；

步骤1.4、判断被监听的信息是否过滤，如果是，则执行步骤1.2，如果否，则执行步骤1.5；

步骤1.5、将捕捉的信息组合生成一个复合状态，并按时间顺序记录成一串复合状态序列，完成后返回步骤1.2。

4.根据权利要求3所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤1.4中所述监听信息过滤的规则为：

第一、没有意义的状态；

第二、实验统计中不出现或者出现概率小于0.1的状态； 

第三、不能有效刻画复合行为的状态；

第四、显状态集合V应该是相对于S集合产生V集合的一个相对完备最小的集合。

5.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤2的具体过程为：

步骤2.1、启动行为学习模块，用户设置学习参数，并从数据中心模块中读取待学习的复合状态序列；

步骤2.2、开始一次完整的学习，读取所有的待测序列，统计各状态间转换的规律，根据统计的结果修改和学习模型参数；

步骤2.3、判断模型的学习结果是否收敛到一个稳定结果，如果是，将学习后的HMM同步到数据中心模块，如果否，则返回步骤2.2。

6.根据权利要求5所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤2.3中判断模型的学习结果是否收敛到一个稳定结果的判断标准为：用学习完的模型对所有符合序列进行评估，将所有评估结果取平均值，即获得学习完成后的模型对样本的一个认知度，设定一个上限，当相邻两次模型的认知度之差小于这个上限时，学习结果已经收敛到了一个稳定的结果，当相邻两次模型的认知度之差大于这个上限时，学习结果没有收敛到一个稳定的结果。

7.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤3的具体过程为：

步骤3.1、启动行为检测模块，用户设置检测参数，从数据中心模块读取待测应用的复合状态序列，读取指定的HMM；

步骤3.2、从步骤3.1读取的复合状态序列中依次取出一条复合状态序列，

步骤3.3、用步骤3.1读取的HMM对取出的一条复合状态序列进行评估，判断评估结果是否正常，如果是则执行步骤3.4，如果否则执行步骤3.2；

步骤3.4、根据评估结果进行综合评估，输出检测结果。

8.根据权利要求7所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤3.3所述的判断评估结果是否正常的方法为：采用Forward Algorithm，前向算法的原理获取递归形式进行求解，将计算获得的概率值与预先设定的一个阈值进行比较，如果在阈值范围内，则该序列评估结果正常，否则异常。

9.根据权利要求7所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤3.4所述综合评估的标准为：任何一组复合状态序列中至少有一条 异常序列，则该组序列代表的应用行为异常。 

Images