CN107463847A - 一种Android系统下的权限共谋攻击检测方法 - Google Patents
一种Android系统下的权限共谋攻击检测方法 Download PDFInfo
- Publication number
- CN107463847A CN107463847A CN201710839802.5A CN201710839802A CN107463847A CN 107463847 A CN107463847 A CN 107463847A CN 201710839802 A CN201710839802 A CN 201710839802A CN 107463847 A CN107463847 A CN 107463847A
- Authority
- CN
- China
- Prior art keywords
- mrow
- msub
- authority
- collusion
- application
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明提供了一种Android系统下的权限共谋攻击检测方法，包括按顺序进行的下列步骤：提取已知应用的特征生成特征向量集；对权限特征向量集训练和分类并生成安全策略规则集；然后根据组件和通信方式特征向量集生成组件通信有限状态机；最后通过提取待测应用特征向量集生成新权限状态机，通过与已优化安全策略规则集的匹配检测权限共谋攻击；本发明提供的检测方法可实现对Android系统中权限共谋攻击的有效检测，具有检测准确率高、检测速度快的特点。
Description
技术领域
本发明属于智能终端与移动互联网安全应用领域，特别是涉及一种Android系统下的权限共谋攻击检测方法。
背景技术
随着移动智能终端的普及，Android系统所面临的安全威胁越来越多。Android权限共谋攻击是近年来新出现的一种安全威胁，具有攻击形式多样、隐蔽性强和攻击范围大等特点，成为相关学者研究的热点课题。共谋攻击主要通过绕过Android安全机制(签名、沙盒等)的检查实施攻击。相比于其它类型的攻击，Android共谋攻击隐蔽性更好，检测难度更高。
与检测恶意应用不同，检测共谋攻击不仅涉及检测存在安全威胁的特征属性，还需检测应用间是否存在通信行为。由于大多数现有恶意应用检测技术并未涉及检测应用间的通信，所以并不适用于检测共谋攻击。为此，有研究者提出例如FlowDroid和Amandroid等的基于污点分析技术的共谋攻击检测方法，通过标记应用间信息流向来检测敏感数据的窃取，达到检测共谋攻击的目的，但在效率方面表现不佳。为改善上述检测方法的效率，APKCombiner通过分析应用间的信息流提高检测共谋攻击的准确率，但该工具仅能检测出两个应用间的共谋攻击行为。某些文献通过提取应用的公开和隐蔽信道信息来检测隐私数据泄露，但该方法单一且检测数据有限。还有文献提出一种基于权限的共谋攻击检测方法，通过提取应用权限特征并静态分析函数调用检测共谋攻击，但检测精度和效率不高。另有文献提出一种检测应用间共谋攻击的COVERT工具，该工具虽然能够检测并显示组件间的通信，但在检测隐式组件方面误差大，从而导致检测攻击准确率低。
发明内容
为解决上述问题，本发明的目的是提供一种融合Bayes分类方法和有限状态机的Android系统下的权限共谋攻击检测方法。
为了达到上述目的，本发明提供的Android系统下的权限共谋攻击检测方法包括按顺序进行的下列步骤：
(1)训练样本数据，得到安全策略规则集和通信数据集
1)反编译现有已知攻击行为的APK样本文件，得到AndroidManifest.xml文件，提取权限、组件和通信特征生成对应的特征向量，得到样本数据；
2)对Bayes分类算法进行改进，传统Bayes分类算法通过计算权限Wi是共谋应用的条件概率P(C|Wi)来进行分类，Wi是共谋应用的条件概率P(C|Wi)的计算方法如下：
P(C|Wi)表示出现权限Wi的应用是共谋应用的条件概率；P(C)为训练阶段应用中存在共谋应用的概率；P(Wi|C)表示共谋应用中权限Wi出现的概率；P(H)表示训练阶段应用中非共谋应用的概率；P(Wi|H)表示非共谋应用中权限Wi出现的概率；
3)将上述提取的权限特征向量作为改进后Bayes分类算法的输入，将改进后Bayes分类算法的分类结果作为共谋应用的安全策略规则集；
4)利用上述提取的通信方式特征向量和组件特征向量生成通信状态机；将步骤3)中得到的的安全策略规则集输入通信状态机，得到优化后的安全策略规则集；
5)将优化后的安全策略规则集保存到数据库中；
(2)对权限共谋攻击进行检测
1)反编译待检测行为的APK文件得到AndroidManifest.xml文件，提取AndroidManifest.xml文件中权限、组件和通信相关特征生成对应的特征向量；
2)提取上述步骤1)中的权限特征向量作为改进Bayes分类算法的输入，得到待检测行为权限组合数据集；
3)利用上述步骤1)提取的待检测行为的通信方式特征向量和组件特征向量生成待检测行为通信状态机，将步骤2)中得到的待检测行为权限组合数据集输入待检测行为通讯状态机得到优化待检测行为权限组合数据集；
4)将上述步骤3)中得到的优化待检测行为权限组合数据集在数据库中与步骤(1)得到的优化后安全策略规则集进行匹配；若完全匹配成功，则待检测行为是非权限共谋攻击，否则该行为是权限共谋攻击。
Bayes分类算法进行改进的方法为：
Ⅰ)判断权限特征向量W＝{W1,W2,W3....Wn}中的权限Wi＝0是否为0，若判断结果为“是”，则计算P(Wi|C)和P(Wi|H)时，将所有权限出现的次数初始化为1，并根据样本调整P(C|W)的值；否则，进入下一步，P(C|W)的计算公式为：
Ⅱ)判断P(C|Wi)是否小于0.001，判断结果为“是”，计算共谋攻击概率P(Wi|C)和非共谋攻击概率P(Wi|H)时，取P(C|Wi)的对数ln{(P(C|Wi))-1}，将最终结果变为比较P(W1|C)P(W2|S)...P(Wn|C)P(C)和P(W1|H)P(W2|H)...P(Wn|H)P(H)的大小；判断结果为“否”，进入下一步；
Ⅲ)计算P(C|W)时引入一个变量调整因子θ，其作用是调整权限列表中某一权限组合共谋攻击的联合概率，并利用Adaboost算法进行多次迭代确定变量调整因子θ；
Ⅳ)计算Lτ(S)，其中，Lτ(S)＝ln{(P(C|W))-1}，当Lτ(S)大于0.5，将权限组合列表保存作为安全策略规则集。
通讯状态机的生成方法为：
步骤1：将每一个应用转化为用点集合V与边集E表示的状态图G(V,E)；
若用A表示一个应用，α表示应用A中Activities组件的集合，β表示应用A中Services组件的集合，γ表示应用A中Broadcast Receivers组件的集合，ξ表示应用A中与Intent相关的API调用，ζ(ξ)表示API调用ξ中所有操作字符串的集合；
定义点集合V为：
V＝α∪β∪γ∪ζ(ξ) (3)
用S(ξ)表示API调用ξ中发送Intent传递信息组件集，S(ξ)＝{x∈{α∪β∪γ},x发送Intent i∈ξ，T(ξ)表示接收Intent处理信息的组件集，T(ξ)＝{x∈{α∪β∪γ},x接收Intent i∈ξ；
定义边集E为：
步骤2：将所有应用转化后的状态图进行融合，而得到融合图；
为处理应用间的隐式Intent调用问题，将状态图G(V,E)融合，将n个应用对应的所有状态图融合后表示为融合图Gu；
步骤3：对融合图进行优化，删除融合图中的动作字符串的节点得到优化图
Gd；
步骤4：建立优化图Gd的状态机；
将优化图Gd转化为状态机M中对应的元素，优化图Gd节点作为状态机M中接受状态集F；初始状态为q0，权限集Q＝F∪{q0}，状态转移函数δ包含从q0→F的转换，且能够访问接受状态集F中的元素和优化图Gd中的所有边，若组件间存在通信，则保存通信相关的数据。
本发明提供的Android系统下的权限共谋攻击检测方法，与传统的权限共谋攻击检测方法相比，本发明使用Bayes分类算法和基于有限状态机的组件通信检测算法对权限共谋攻击进行检测，本发明提供的检测方法可实现对Android系统中权限共谋攻击的有效检测，具有高的检测效率和检测精度。
附图说明
图1为本发明提供的Android权限共谋攻击检测方法架构图。
图2为本发明提供的测试样本动态检测过程截图。
图3为共谋与非共谋样本分类效果图。
图4为共谋分析与权限数量关系图。
具体实施方式
下面结合附图和具体实例对本发明提供的Android系统下的权限共谋攻击检测方法进行详细说明。
如图1所示，本发明提供的Android系统下的权限共谋攻击检测方法包括按顺序进行的下列步骤：
(1)使用Androguard逆向分析软件反编译APK文件，得到AndroidManifest.xml文件，并使用python软件中的xml.dom模块和IO模块对此文件解析，解析后将权限属性集、组件属性集、通信属性集保存到相应的文件中，然后分别计算三类属性集中每个属性的数量并按使用频率从高到低排序后保存，得到新特征属性集，最后将新特征向量属性集分成权限特征向量集、组件特征向量集及通信方式特征向量集并保存。
(2)对Bayes分类算法进行改进；传统Bayes分类算法通过计算权限Wi是共谋应用的条件概率P(C|Wi)来进行分类，Wi是共谋应用的条件概率P(C|Wi)的计算方法如下：
P(C|Wi)表示出现权限Wi的应用是共谋应用的条件概率；P(C)为训练阶段应用中存在共谋应用的概率；P(Wi|C)表示共谋应用中权限Wi出现的概率；P(H)表示训练阶段应用中非共谋应用的概率；P(Wi|H)表示共谋应用中权限Wi出现的概率；
对Bayes分类算法进行改进的方法为：
Ⅰ)判断权限特征向量W＝{W1,W2,W3....Wn}中的权限Wi＝0是否为0，若判断结果为“是”，则计算共谋应用中权限Wi出现的概率P(Wi|C)和共谋应用中权限Wi出现的概率P(Wi|H)时，将所有权限出现的次数初始化为1，并根据样本调整P(C|W)的值；否则，进入下一步，P(C|W)的计算公式为：
Ⅱ)判断P(C|Wi)是否小于0.001，判断结果为“是”，计算P(Wi|C)和P(Wi|H)时，取P(C|Wi)的对数ln{(P(C|Wi))-1}，将最终结果变为比较P(W1|C)P(W2|S)...P(Wn|C)P(C)和P(W1|H)P(W2|H)...P(Wn|H)P(H)的大小；判断结果为“否”，进入下一步；
Ⅲ)计算P(C|W)时引入一个变量调整因子θ，其作用是调整权限列表中某一权限组合共谋攻击的联合概率，并利用Adaboost算法进行多次迭代确定变量调整因子θ。
(3)将上述提取的权限特征向量集合输入改进Bayes的分类算法，对样本进行学习和测试后，将得到的样本权限组合作为安全策略规则集；利用上述提取的通信方式特征向量和组件特征向量生成通信状态机；将上述步骤3)中的安全策略规则集输入通信状态机，得到优化后的安全策略规则集；最后，将优化后安全策略规则集保存到数据库中。
通信状态机的生成方法为：
步骤1：将每一个应用转化为用点集合V与边集E表示的状态图G(V,E)；
若用A表示一个应用，提取应用A中组件属性集和通信属性集的特征向量，分析特征向量中组件及通信状态；α表示应用A中Activities组件的集合，β表示应用A中Services组件的集合，γ表示应用A中Broadcast Receivers组件的集合，ξ表示应用A中与Intent相关的API调用，ζ(ξ)表示API调用ξ中所有操作字符串的集合；
定义点集合V为：
V＝α∪β∪γ∪ζ(ξ) (3)
用S(ξ)表示ξ中发送Intent传递信息组件集，S(ξ)＝{x∈{α∪β∪γ},x发送Intent i∈ξ，T(ξ)表示接收Intent处理信息的组件集，T(ξ)＝{x∈{α∪β∪γ},x接收Intent i∈ξ；
定义边集E为：
步骤2：将所有应用转化后的状态图进行融合；
为处理应用间的隐式Intent调用问题，将状态图G(V,E)融合，将n个应用对应的所有状态图的融合后表示为融合图Gu；
Gu＝(V,E)，其中V＝V1∪V2∪V3···∪Vn，E＝E1∪E2∪E3···∪En∪E’，其中E’表示应用间发送和接收隐式Intent信息的边；对于任意应用Ai和应用Aj(i≠j∈{1,···,n})，都有对应的应用图Gi和应用图Gj，用ξi或ξj表示应用Ai或应用Aj中与Intent有关的API调用，令k＝i,j(i≠j∈{1,···,n})，则S(ξk)和T(ξk)分别表示ξk中发送和接收Intent的组件集；因此，E’可表示为：s.t.x∈S(ξk),y∈T(ξk),i≠j}。
步骤3：对融合图进行优化；删除融合图中的动作字符串的节点(即在Gu
中删除ζ(ξ))；得到优化图Gd，此处所说的融合图节点即为组件；
删除融合图节点的规则设计如下：
(1)若某个融合图节点没有进来的边只有出去边，则删掉此节点；
(2)若融合图节点有来自其它组件的边，则保留该节点的边并删掉对应的操作字符串节点。
优化融合图记为Gd＝(Vd,Ed)，边记为Ed＝E∪{S(ξ)→T(ξ)|S(ξ)→x→T(ξ),x∈ζ}\{{(x,y)|x∈S(ξ),y∈ζ(ξ)}∪{(x,y)|x∈T(ξ),y∈ζ(ξ)}}，节点记为Vd＝V-ζ(ξ)。
步骤4：建立优化图Gd的状态机；
将优化图Gd转化为状态机M中对应的元素，Gd节点作为状态机M中接受状态集F；初始状态为q0，权限集Q＝F∪{q0}，状态转移函数δ包含从q0→F的转换，且能够访问接受状态集F中的元素和优化图Gd中的所有边，若组件间存在通信，则保存通信相关的数据。
(4)对权限共谋攻击的检测
1)反编译待检测行为的APK文件得到AndroidManifest.xml文件，提取AndroidManifest.xml文件中权限、组件和通信相关特征生成对应的特征向量；
2)提取上述步骤1)中的权限特征向量作为改进Bayes分类算法的输入，得到待检测行为权限组合数据集；
3)利用上述步骤1)提取的待检测行为的通信方式特征向量和组件特征向量生成待检测行为通信状态机，将步骤2)中得到的待检测行为权限组合数据集输入待检测行为通讯状态机得到优化待检测行为权限组合数据集；
4)将上述步骤3)中得到的优化待检测行为权限组合数据集在数据库中与步骤(1)得到的优化后安全策略规则集进行匹配；若完全匹配成功，则待检测行为是非权限共谋攻击，否则该行为是权限共谋攻击。
本发明人从共谋攻击检测效率和检测精度两个方面对本发明提供的Android系统下的权限共谋攻击检测方法进行了分析。
图2为采用500(300个共谋应用，200个非共谋应用)个测试集下的动态检测过程截图；从图2的实验结果可以看出检测到286个共谋应用，表明本发明提供的检测方法具有较高的检测准确率。
图3为采用500(300个共谋应用，200个非共谋应用)个测试集下的分类效果图；其中，圆形代表非共谋应用，三角形代表为共谋应用，从图3中可见，样本中共谋应用与非共谋应用在Lτ约为0.5处分离，表明此阈值可近似作为分类共谋与非共谋应用的阈值。
图4为共谋风险与权限数量关系图；为验证应用申请权限数量与共谋攻击之间的关系，对共谋样本中每个应用10个最常用权限的数量与共谋攻击之间的关系进行统计。从图4的实验结果可以看出，10个权限中随着申请数量的增加，产生共谋风险的可能性增大。依据是权限数量增多，可能的共谋权限组合也就越多。
Claims (3)
1.一种用于Android系统的权限共谋攻击检测方法，其特征在于：包括按顺序进行的下列步骤：
(1)训练样本数据，得到安全策略规则集和通信数据集
1)反编译现有已知攻击行为的APK样本文件，得到AndroidManifest.xml文件，提取权限、组件和通信特征生成对应的特征向量，得到样本数据；
2)对Bayes分类算法进行改进，传统Bayes分类算法通过计算权限Wi是共谋应用的条件概率P(C|Wi)来进行分类，Wi是共谋应用的条件概率P(C|Wi)的计算方法如下：
<mrow>
<mi>P</mi>
<mrow>
<mo>(</mo>
<mi>C</mi>
<mo>|</mo>
<msub>
<mi>W</mi>
<mi>i</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>=</mo>
<mfrac>
<mrow>
<mi>P</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>W</mi>
<mi>i</mi>
</msub>
<mo>|</mo>
<mi>C</mi>
<mo>)</mo>
</mrow>
<mo>&CenterDot;</mo>
<mi>P</mi>
<mrow>
<mo>(</mo>
<mi>C</mi>
<mo>)</mo>
</mrow>
</mrow>
<mrow>
<mi>P</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>W</mi>
<mi>i</mi>
</msub>
<mo>|</mo>
<mi>C</mi>
<mo>)</mo>
</mrow>
<mo>&CenterDot;</mo>
<mi>P</mi>
<mrow>
<mo>(</mo>
<mi>C</mi>
<mo>)</mo>
</mrow>
<mo>+</mo>
<mi>P</mi>
<mrow>
<mo>(</mo>
<msub>
<mi>W</mi>
<mi>i</mi>
</msub>
<mo>|</mo>
<mi>H</mi>
<mo>)</mo>
</mrow>
<mo>&CenterDot;</mo>
<mi>P</mi>
<mrow>
<mo>(</mo>
<mi>H</mi>
<mo>)</mo>
</mrow>
</mrow>
</mfrac>
<mo>-</mo>
<mo>-</mo>
<mo>-</mo>
<mrow>
<mo>(</mo>
<mn>1</mn>
<mo>)</mo>
</mrow>
</mrow>
P(C|Wi)表示出现权限Wi的应用是共谋应用的条件概率；P(C)为训练阶段应用中存在共谋应用的概率；P(Wi|C)表示共谋应用中权限Wi出现的概率；P(H)表示训练阶段应用中非共谋应用的概率；P(Wi|H)表示非共谋应用中权限Wi出现的概率；
3)将上述提取的权限特征向量作为改进后Bayes分类算法的输入，将改进后Bayes分类算法的分类结果作为共谋应用的安全策略规则集；
4)利用上述提取的通信方式特征向量和组件特征向量生成通信状态机；将步骤3)中得到的的安全策略规则集输入通信状态机，得到优化后的安全策略规则集；
5)将优化后的安全策略规则集保存到数据库中；
(2)对权限共谋攻击进行检测
1)反编译待检测行为的APK文件得到AndroidManifest.xml文件，提取AndroidManifest.xml文件中权限、组件和通信相关特征生成对应的特征向量；
2)提取上述步骤1)中的权限特征向量作为改进Bayes分类算法的输入，得到待检测行为权限组合数据集；
3)利用上述步骤1)提取的待检测行为的通信方式特征向量和组件特征向量生成待检测行为通信状态机，将步骤2)中得到的待检测行为权限组合数据集输入待检测行为通讯状态机得到优化待检测行为权限组合数据集；
4)将上述步骤3)中得到的优化待检测行为权限组合数据集在数据库中与步骤(1)得到的优化后安全策略规则集进行匹配；若完全匹配成功，则待检测行为是非权限共谋攻击，否则该行为是权限共谋攻击。
2.根据权利要求1所述的Android系统下的Android权限共谋攻击方法，其特征在于，对Bayes分类算法进行改进的方法为：
Ⅰ)判断权限特征向量W＝{W1,W2,W3....Wn}中的权限Wi＝0是否为0，若判断结果为“是”，则计算P(Wi|C)和P(Wi|H)时，将所有权限出现的次数初始化为1，并根据样本调整P(C|W)的值；否则，进入下一步，P(C|W)的计算公式为：
<mrow>
<mi>P</mi>
<mrow>
<mo>(</mo>
<mi>C</mi>
<mo>,</mo>
<mi>W</mi>
<mo>)</mo>
</mrow>
<mo>=</mo>
<mfrac>
<mrow>
<msub>
<mi>P</mi>
<mn>1</mn>
</msub>
<msub>
<mi>P</mi>
<mn>2</mn>
</msub>
<msub>
<mi>P</mi>
<mn>3</mn>
</msub>
<mo>...</mo>
<msub>
<mi>P</mi>
<mi>n</mi>
</msub>
</mrow>
<mrow>
<msub>
<mi>P</mi>
<mn>1</mn>
</msub>
<msub>
<mi>P</mi>
<mn>2</mn>
</msub>
<msub>
<mi>P</mi>
<mn>3</mn>
</msub>
<mo>...</mo>
<msub>
<mi>P</mi>
<mi>n</mi>
</msub>
<mo>+</mo>
<mrow>
<mo>(</mo>
<mn>1</mn>
<mo>-</mo>
<msub>
<mi>P</mi>
<mn>1</mn>
</msub>
<mo>)</mo>
</mrow>
<mrow>
<mo>(</mo>
<mn>1</mn>
<mo>-</mo>
<msub>
<mi>P</mi>
<mn>2</mn>
</msub>
<mo>)</mo>
</mrow>
<mrow>
<mo>(</mo>
<mn>1</mn>
<mo>-</mo>
<msub>
<mi>P</mi>
<mn>3</mn>
</msub>
<mo>)</mo>
</mrow>
<mo>...</mo>
<mrow>
<mo>(</mo>
<mn>1</mn>
<mo>-</mo>
<msub>
<mi>P</mi>
<mi>n</mi>
</msub>
<mo>)</mo>
</mrow>
</mrow>
</mfrac>
<mo>-</mo>
<mo>-</mo>
<mo>-</mo>
<mrow>
<mo>(</mo>
<mn>2</mn>
<mo>)</mo>
</mrow>
</mrow>
Ⅱ)判断P(C|Wi)是否较小于0.001，判断结果为“是”，计算共谋攻击概率P(Wi|C)和非共谋攻击概率P(Wi|H)时，取P(C|Wi)的对数ln{(P(C|Wi))-1}，将最终结果变为比较P(W1|C)P(W2|S)...P(Wn|C)P(C)和P(W1|H)P(W2|H)...P(Wn|H)P(H)的大小；判断结果为“否”，进入下一步；
Ⅲ)计算P(C|W)时引入一个变量调整因子θ，其作用是调整权限列表中某一权限组合共谋攻击的联合概率，并利用Adaboost算法进行多次迭代确定变量调整因子θ；
Ⅳ)计算Lτ(S)，其中，Lτ(S)＝ln{(P(C|W))-1}，当Lτ(S)大于0.5，将权限组合列表保存作为安全策略规则集。
3.根据权利要求1所述的Android系统下的权限共谋攻击检测方法，其特征在于，所述的通信状态机的生成方法为：
步骤1：将每一个应用转化为用点集合V与边集E表示的状态图G(V,E)；
若用A表示一个应用，α表示应用A中Activities组件的集合，β表示应用A中Services组件的集合，γ表示应用A中Broadcast Receivers组件的集合，ξ表示应用A中与Intent相关的API调用，ζ(ξ)表示API调用ξ中所有操作字符串的集合；
定义点集合V为：
V＝α∪β∪γ∪ζ(ξ) (3)
用S(ξ)表示API调用ξ中发送Intent传递信息组件集，S(ξ)＝{x∈{α∪β∪γ},x发送Intent i∈ξ，T(ξ)表示接收Intent处理信息的组件集，T(ξ)＝{x∈{α∪β∪γ},x接收Intent i∈ξ；
定义边集E为：
步骤2：将所有应用转化后的状态图进行融合，而得到融合图；
为处理应用间的隐式Intent调用问题，将状态图G(V,E)融合，将n个应用对应的所有状态图融合后表示为融合图Gu；
<mrow>
<msup>
<mi>G</mi>
<mi>u</mi>
</msup>
<mo>=</mo>
<munderover>
<mrow>
<mi></mi>
<mo>&cup;</mo>
</mrow>
<mrow>
<mi>i</mi>
<mo>=</mo>
<mn>1</mn>
</mrow>
<mi>n</mi>
</munderover>
<msub>
<mi>G</mi>
<mi>i</mi>
</msub>
<mo>,</mo>
<msub>
<mi>G</mi>
<mi>i</mi>
</msub>
<mo>=</mo>
<mrow>
<mo>(</mo>
<msub>
<mi>V</mi>
<mi>i</mi>
</msub>
<mo>,</mo>
<msub>
<mi>E</mi>
<mi>i</mi>
</msub>
<mo>)</mo>
</mrow>
<mo>,</mo>
<mo>&ForAll;</mo>
<mi>i</mi>
<mo>=</mo>
<mn>1</mn>
<mo>...</mo>
<mi>n</mi>
<mo>-</mo>
<mo>-</mo>
<mo>-</mo>
<mrow>
<mo>(</mo>
<mn>5</mn>
<mo>)</mo>
</mrow>
</mrow>
步骤3：对融合图进行优化，删除融合图中的动作字符串的节点得到优化图Gd；
步骤4：建立优化图Gd的状态机；
将优化图Gd转化为状态机M中对应的元素，优化图Gd节点作为状态机M中接受状态集F；初始状态为q0，权限集Q＝F∪{q0}，状态转移函数δ包含从q0→F的转换，且能够访问接受状态集F中的元素和优化图Gd中的所有边，若组件间存在通信，则保存通信相关的数据。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710839802.5A CN107463847B (zh) | 2017-09-18 | 2017-09-18 | 一种Android系统下的权限共谋攻击检测方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710839802.5A CN107463847B (zh) | 2017-09-18 | 2017-09-18 | 一种Android系统下的权限共谋攻击检测方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN107463847A true CN107463847A (zh) | 2017-12-12 |
| CN107463847B CN107463847B (zh) | 2021-07-13 |
Family
ID=60552495
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201710839802.5A Active CN107463847B (zh) | 2017-09-18 | 2017-09-18 | 一种Android系统下的权限共谋攻击检测方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN107463847B (zh) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108229158A (zh) * | 2018-01-10 | 2018-06-29 | 西安电子科技大学 | 一种Android中存储的用户隐私信息的保护方法 |
| CN108710798A (zh) * | 2018-05-18 | 2018-10-26 | 华中科技大学 | 一种Android第三方库间共谋行为检测方法 |
| CN110691357A (zh) * | 2019-09-04 | 2020-01-14 | 南京理工大学 | 基于Intent通信行为语义图的安卓应用间隐信道检测方法 |
| CN114792006A (zh) * | 2022-03-29 | 2022-07-26 | 西安电子科技大学 | 基于lstm的安卓跨应用程序共谋安全分析方法及系统 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105468977A (zh) * | 2015-12-14 | 2016-04-06 | 厦门安胜网络科技有限公司 | 一种基于朴素贝叶斯的Android恶意软件分类方法和装置 |
| US20160154960A1 (en) * | 2014-10-02 | 2016-06-02 | Massachusetts Institute Of Technology | Systems and methods for risk rating framework for mobile applications |
| CN105740712A (zh) * | 2016-03-09 | 2016-07-06 | 哈尔滨工程大学 | 基于贝叶斯网络的Android恶意行为检测方法 |
| CN106997434A (zh) * | 2017-03-28 | 2017-08-01 | 西安电子科技大学 | 基于Android系统的隐私保护模块及保护方法 |
-
2017
- 2017-09-18 CN CN201710839802.5A patent/CN107463847B/zh active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20160154960A1 (en) * | 2014-10-02 | 2016-06-02 | Massachusetts Institute Of Technology | Systems and methods for risk rating framework for mobile applications |
| CN105468977A (zh) * | 2015-12-14 | 2016-04-06 | 厦门安胜网络科技有限公司 | 一种基于朴素贝叶斯的Android恶意软件分类方法和装置 |
| CN105740712A (zh) * | 2016-03-09 | 2016-07-06 | 哈尔滨工程大学 | 基于贝叶斯网络的Android恶意行为检测方法 |
| CN106997434A (zh) * | 2017-03-28 | 2017-08-01 | 西安电子科技大学 | 基于Android系统的隐私保护模块及保护方法 |
Non-Patent Citations (1)
| Title |
|---|
| SAEED SAMET: "Privacy-Preserving Bayesian Network for Horizontally Partitioned Data", 《2009 INTERNATIONAL CONFERENCE ON COMPUTATIONAL SCIENCE AND ENGINEERING》 * |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108229158A (zh) * | 2018-01-10 | 2018-06-29 | 西安电子科技大学 | 一种Android中存储的用户隐私信息的保护方法 |
| CN108710798A (zh) * | 2018-05-18 | 2018-10-26 | 华中科技大学 | 一种Android第三方库间共谋行为检测方法 |
| CN110691357A (zh) * | 2019-09-04 | 2020-01-14 | 南京理工大学 | 基于Intent通信行为语义图的安卓应用间隐信道检测方法 |
| CN110691357B (zh) * | 2019-09-04 | 2022-06-24 | 南京理工大学 | 基于Intent通信行为语义图的安卓应用间隐信道检测方法 |
| CN114792006A (zh) * | 2022-03-29 | 2022-07-26 | 西安电子科技大学 | 基于lstm的安卓跨应用程序共谋安全分析方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN107463847B (zh) | 2021-07-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109753800B (zh) | 融合频繁项集与随机森林算法的Android恶意应用检测方法及系统 | |
| Wang et al. | Deep and broad URL feature mining for android malware detection | |
| Navidan et al. | Generative Adversarial Networks (GANs) in networking: A comprehensive survey & evaluation | |
| Ito et al. | Web application firewall using character-level convolutional neural network | |
| CN107463847A (zh) | 一种Android系统下的权限共谋攻击检测方法 | |
| US10187412B2 (en) | Robust representation of network traffic for detecting malware variations | |
| CN109922065B (zh) | 恶意网站快速识别方法 | |
| Karim et al. | Phishing detection system through hybrid machine learning based on URL | |
| Rahim et al. | Detecting the Phishing Attack Using Collaborative Approach and Secure Login through Dynamic Virtual Passwords. | |
| Abd Alkareem et al. | Linguistics for Crimes in the World by AI-Based Cyber Security | |
| Liu et al. | An efficient multistage phishing website detection model based on the CASE feature framework: Aiming at the real web environment | |
| CN104504335A (zh) | 基于页面特征和url特征的钓鱼app检测方法及系统 | |
| CN107368592B (zh) | 一种用于网络安全报告的文本特征模型建模方法及装置 | |
| CN106230772A (zh) | 工业互联网异常行为挖掘方案 | |
| Wang et al. | TextDroid: Semantics-based detection of mobile malware using network flows | |
| CN110519228B (zh) | 一种黑产场景下恶意云机器人的识别方法及系统 | |
| Khan | Detection of phishing websites using deep learning techniques | |
| Bista et al. | DDoS attack detection using heuristics clustering algorithm and naïve bayes classification | |
| Heinrich et al. | Fool me Once, shame on You, Fool me Twice, shame on me: a Taxonomy of Attack and de-Fense Patterns for AI Security. | |
| Chen et al. | Using adversarial examples to bypass deep learning based url detection system | |
| Liu et al. | Malware detection method based on image analysis and generative adversarial networks | |
| US20230164180A1 (en) | Phishing detection methods and systems | |
| Veena et al. | Identification of Cyber Criminal by Analysing the Users Profile. | |
| Wang et al. | Phishing webpage detection based on global and local visual similarity | |
| Nanda et al. | URL based phishing attack detection using BiLSTM-gated highway attention block convolutional neural network |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |