CN104751052A - 基于svm算法的移动智能终端软件的动态行为分析方法 - Google Patents

Abstract

本发明公开了一种基于SVM算法的移动智能终端软件的动态行为分析方法。第一步，终端执行软件，捕获软件运行时所调用的API函数；第二步，分析5个敏感行为相关的NativeAPI调用序列，5个敏感行为为特权行为、进程行为、文件行为、网络行为和终端内存操作行为，统计出这5个敏感行为相关NativeAPI函数的调用频率；第三步，将调用频率作为软件的动态行为特征，送入云端用SVM算法进行建模并训练分类器，最终利用学习好的分类器检测出恶意的软件行为。本发明采用动态检测技术可以不受变形和加壳加密技术的影响，且能够分析检测自修改程序，弥补静态行为分析无法检测变种行为的不足，能够高效的检测出恶意的软件行为。

Description

基于SVM算法的移动智能终端软件的动态行为分析方法

技术领域

本发明属于计算机监控领域，特别是一种基于SVM算法的移动智能终端软件的动态行为分析方法。

背景技术

随着移动互联网的快速发展，移动智能终端得到迅速普及，不经意间影响着人们的生活方式，改变着未来的产业格局。正是用户规模的扩大导致移动智能终端正面临着日益严重的威胁，由于其自身特点，导致这些危害行为来自各方面，十分复杂，而在众多安全威胁当中，由恶意的软件行为所引发的危害是几乎全部用户都面临的，也是影响最大的。研究如何检测出恶意的软件行为，从而为移动智能终端提供安全保障是迫在眉睫的。

目前的软件分析技术主要分为动态方法和静态方法，动态行为分析是指在严格控制的环境中（如沙盒、虚拟机、物理隔绝的主机等）执行软件的安装和运行等操作，并记录其行为以及对系统环境和资源造成的影响。通过对行为状况的分析，来检测软件是否具有窃密隐私、吸费、非法内容传播等恶意行为。

动态检测技术一般有状态对比和行为跟踪两种方法。

发明内容

1、本发明的目的。

本发明基于现有技术提出一种基于SVM算法的移动智能终端软件的动态行为分析方法，从而检测出恶意的软件行为，保护移动智能终端安全。

2、本发明所采用的技术方案。

基于SVM算法的移动智能终端软件的动态行为分析方法，步骤如下：

第一步，终端执行软件，捕获软件运行时所调用的API函数。

第二步，分析5个敏感行为相关的Native API调用序列，5个敏感行为为特权行为、进程行为、文件行为、网络行为和终端内存操作行为，统计出这5个敏感行为相关Native API函数的调用频率。

第三步，将调用频率作为软件的动态行为特征，送入云端用SVM算法进行建模并训练分类器，最终利用学习好的分类器检测出恶意的软件行为。

3、本发明的有益效果。

（1）本发明采用动态检测技术可以不受变形和加壳加密技术的影响，且能够分析检测自修改程序，可以弥补静态行为分析无法检测变种行为的不足。

（2）本发明充分考虑了移动智能终端固有的特点和安全机制，因此能够更高效的检测出恶意的软件行为。

附图说明

图1是动态行为分析流程图。

图2是SVM算法执行流程图。

具体实施方式

实施例1

    结合图1，本发明涉及一种基于SVM算法的移动智能终端软件的动态行为分析方法，步骤如下：

第一步，终端执行软件，捕获软件运行时所调用的API函数。

第二步，分析5个敏感行为相关的Native API调用序列，5个敏感行为为特权行为、进程行为、文件行为、网络行为和终端内存操作行为，统计出这5个敏感行为相关Native API函数的调用频率。

第三步，将调用频率作为软件的动态行为特征，送入云端用SVM算法进行建模并训练分类器，最终利用学习好的分类器检测出恶意的软件行为。

实施例2

结合图2，基于SVM算法的移动智能终端软件的动态行为分析方法，步骤如下：

第一步、运行样本软件，利用HOOK API技术捕获软件的系统API函数调用序列，并统计出5个敏感行为相关的Native API函数的调用频率。这5个敏感行为是特权行为，进程行为，文件行为、网络行为和终端内存操作行为。

       1、查找出系统中5个敏感行为的系统调用所对应的入口地址。

2、利用HOOK技术，通过入口地址实现系统调用的拦截，捕获到各自的API调用序列。关键代码如下：

size_t hook_sysread(int fd,ehar*buf,size_t count)

{

       //添加统计功能

       return orig_read(fd,buf,count);

}

static int_init hook_start(void)

{

       unsigned long *sys_call_table=0xe0021d24;

       orig_read=sys_call_table[_NR_read];

       sys_call_table[_NR_read]=hook_sysread;

       return 0;

}

       static void-exit hook_stop(void)

{

       unsigned long *sys_call_table=0xe0021d24;

       sys_call_table[_NR_read]=&orig_read;

       ……

}

Module_init(hook_start);

Module_exit(hook--stop);

3、统计出5个敏感行为相关的Native API函数调用频率，并以此作为动态行为特征。

第二步，如图2所示，将行为特征送入云端进行处理。通过SVM算法选中适当模型参数来训练SVM分类模型，之后不断利用样本数据让分类器进行学习完善，得到最终的SVM分类检测模型，从而检测出恶意的软件行为。

上述实施例不以任何方式限制本发明，凡是采用等同替换或等效变换的方式获得的技术方案均落在本发明的保护范围内。

Claims (3)

1.一种基于SVM算法的移动智能终端软件的动态行为分析方法，其特征在于采用云处理和机器学习，具体步骤如下：

第一步，终端执行软件，捕获软件运行时所调用的API函数；

第二步，分析5个敏感行为相关的Native API调用序列，5个敏感行为为特权行为、进程行为、文件行为、网络行为和终端内存操作行为，统计出这5个敏感行为相关Native API函数的调用频率；

第三步，将调用频率作为软件的动态行为特征，送入云端用SVM算法进行建模并训练分类器，最终利用学习好的分类器检测出恶意的软件行为。

2.根据权利要求1所述的基于SVM算法的移动智能终端软件的动态行为分析方法，其特征在于：所述第二步按照如下方式进行：

（1）、查找出系统中5个敏感行为的系统调用所对应的入口地址；

（2）、利用HOOK技术，通过入口地址实现系统调用的拦截，捕获到各自的API调用序列。

3.根据权利要求1所述的基于SVM算法的移动智能终端软件的动态行为分析方法v，其特征在于：利用HOOK API技术捕获软件的系统API函数调用序列。