CN114238968A - 应用程序检测方法及装置、存储介质及电子设备 - Google Patents

Abstract

本公开涉及安全检测技术领域，具体涉及一种应用程序检测方法及装置、计算机可读存储介质及电子设备，方法包括：获取待检测应用程序对应的开发者特征；获取恶意应用程序库中与待检测应用程序相似度满足第一预设条件的恶意应用程序数量；获取安装过待检测应用程序的设备的应用程序行为序列；根据应用程序行为序列和恶意应用程序库获取待检测应用程序对应的目标行为特征；根据开发者特征、恶意应用程序数量以及目标行为特征利用至少一个预训练的检测模型得到检测结果。本公开实施例的技术方案提升了对应用程序的检测精度。

Description

应用程序检测方法及装置、存储介质及电子设备

技术领域

本公开涉及安全检测技术领域，具体而言，涉及一种应用程序检测方法及装置、计算机可读存储介质及电子设备。

背景技术

随着智能手机的广泛推广，应用程序的数量也越来越多，但是应用程序中的恶意应用的数量也随之增多，因此，对应用程序进行检测并筛选出恶意的应用程序变得相当重要。

现有技术中的应用程序的检测方法一般分为特征提取和分类。现有检测方案中特征提取环节，静态检测方法的准确率较低，动态检测方法存在对运行环境要求较高、耗时较长，某些行为难以触发等问题。

现有检测方案中分类环节，基于规则的分类方法存在所有规则都需人工提取，普适性较差。基于算法的方法中传统统计方法效果较差。部分基于机器学习的方法存在样本量偏少，模型识别不够全面的问题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种应用程序检测方法、应用程序检测装置、计算机可读介质和电子设备，进而至少在一定程度上提升了对应用程序的检测精度。

根据本公开的第一方面，提供一种应用程序检测方法，包括：获取待检测应用程序对应的开发者特征；获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；获取安装过所述待检测应用程序的设备的应用程序行为序列；根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

根据本公开的第二方面，提供一种应用程序检测装置，包括：第一获取模块，用于获取待检测应用程序对应的开发者特征；第二获取模块，用于获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；第三获取模块，用于获取安装过所述待检测应用程序的设备的应用程序行为序列；第四获取模块，用于根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；应用检测模块根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

根据本公开的第三方面，提供一种计算机可读介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述的方法。

根据本公开的第四方面，提供一种电子设备，其特征在于，包括：一个或多个处理器；以及存储器，用于存储一个或多个程序，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现上述的方法。

本公开的一种实施例所提供的应用程序检测方法，获取待检测应用程序对应的开发者特征；获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；获取安装过所述待检测应用程序的设备的应用程序行为序列；根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。相较于现有技术，一方面，利用获取到的开发者特征、目标行为特征以及与待检测应用程序相似度满足第一预设条件的恶意应用程序的数量作为检测模型的输入，能够提升对应用程序检测的精度；另一方面，采用安装过待检测应用程序的设备的应用程序行为序列以及恶意应用程序库来获取目标行为特征，增加了脱敏的用户应用程序的安装卸载序列，进而能够获取到不正常用户的行为数据，增加了影响程序检测的先验信息，从而提升应用程序检测的精度。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了可以应用本公开实施例的一种示例性系统架构的示意图；

图2示出了可以应用本公开实施例的一种电子设备的示意图；

图3示意性示出本公开示例性实施例中一种应用程序检测方法的流程图；

图4示意性示出本公开示例性实施例中一种获取检测结果的流程图；

图5示意性示出本公开示例性实施例中一种根据所述目标特征利用至少一个预训练的检测模型得到检测结果的流程图；

图6示意性示出本公开示例性实施例中一种程序检测方法具体实现流程图；

图7示意性示出本公开示例性实施例中应用程序检测装置的组成示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

相关技术大多采用深度学习进行无参考应用程序检测，取得了一定的进展。然而仍存在以下不足：

针对无参考应用程序检测所建立的深度学习模型大多基于目标检测网络的结构，注重于学习图像的全局信息。而真实图像的失真大多存在于局部区域，特别是当图像大部分区域表现出较好的质量时，人类视觉系统会对局部失真非常敏感。因此，深度学习模型对于局部信息的忽视，导致其输出的应用程序检测结果与人类的感知存在较大差别。

深度学习模型经过训练后，其结构与参数得到固定，意味着对图像质量的评价方式也得到固定。而人类对于图像质量的感知方式会随着图像内容的变化而变化，例如，人们会认为湛蓝的天空图像质量较高，而大多数深度学习模型却将其误认为是模糊的图像，原因是该图像包含较大的空旷区域。因此，深度学习模型固化的应用程序检测方式会影响结果的准确性。

鉴于上述一个或多个问题，本公开的示例性实施方式首先提供一种应用程序检测方法。下面结合图1对本示例性实施方式运行环境的系统架构与应用场景进行示例性说明。

图1示出了系统架构的示意图，该系统架构100可以包括终端110与服务器120。其中，终端110可以是智能手机、平板电脑、台式电脑、笔记本电脑等终端设备，服务器120泛指提供本示例性实施方式中应用程序检测相关服务的后台系统，可以是一台服务器或多台服务器形成的集群。终端110与服务器120之间可以通过有线或无线的通信链路形成连接，以进行数据交互。

在一种实施方式中，可以由终端110执行上述应用程序检测方法。例如，用户使用终端110拍摄图像或者用户在终端110的相册中选取图像后，由终端110对该图像进行质量评价，输出评价值。

在一种实施方式中，可以由服务器120可以执行上述应用程序检测方法。例如，用户使用终端110获取上述开发者特征、恶意应用程序数量以及上述目标行为特征，终端110将开发者特征、恶意应用程序数量以及上述目标行为特征上传至服务器120，由服务器120对该图像进行应用程序检测，向终端110返回检测结果。

由上可知，本示例性实施方式中的应用程序检测方法的执行主体可以是上述终端110或服务器120，本公开对此不做限定。

本公开的示例性实施方式还提供一种用于执行上述应用程序检测方法的电子设备，该电子设备可以是上述终端110或服务器120。一般的，该电子设备可以包括处理器与存储器，存储器用于存储处理器的可执行指令，处理器配置为经由执行可执行指令来执行上述应用程序检测方法。

下面以图2中的移动终端200为例，对该电子设备的构造进行示例性说明。本领域技术人员应当理解，除了特别用于移动目的的部件之外，图2中的构造也能够应用于固定类型的设备。

如图2所示，移动终端200具体可以包括：处理器201、存储器202、总线203、移动通信模块204、天线1、无线通信模块205、天线2、显示屏206、摄像模块207、音频模块208、电源模块209与传感器模块210。

处理器201可以包括一个或多个处理单元，例如：处理器210可以包括AP(Application Processor，应用处理器)、调制解调处理器、GPU(Graphics ProcessingUnit，图形处理器)、ISP(Image Signal Processor，图像信号处理器)、控制器、编码器、解码器、DSP(Digital Signal Processor，数字信号处理器)、基带处理器和/或NPU(Neural-Network Processing Unit，神经网络处理器)等。本示例性实施方式中的应用程序检测方法可以由AP、GPU或DSP来执行，当方法涉及到神经网络相关的处理时，可以由NPU来执行。

处理器201可以通过总线203与存储器202或其他部件形成连接。

存储器202可以用于存储计算机可执行程序代码，所述可执行程序代码包括指令。处理器201通过运行存储在存储器202的指令，执行移动终端200的各种功能应用以及数据处理。存储器202还可以存储应用数据，例如存储图像，视频等文件。

移动终端200的通信功能可以通过移动通信模块204、天线1、无线通信模块205、天线2、调制解调处理器以及基带处理器等实现。天线1和天线2用于发射和接收电磁波信号。移动通信模块204可以提供应用在移动终端200上2G、3G、4G、5G等移动通信解决方案。无线通信模块205可以提供应用在移动终端200上的无线局域网、蓝牙、近场通信等无线通信解决方案。

传感器模块210可以包括深度传感器2101、压力传感器2102、陀螺仪传感器2103、气压传感器2104等，以实现相应的感应检测功能。

下面结合图3对本示例性实施方式中的应用程序检测方法进行说明，图3示出了该应用程序检测方法的示例性流程，可以包括：

步骤S310，获取待检测应用程序对应的开发者特征；

步骤S320，获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；

步骤S330，获取安装过所述待检测应用程序的设备的应用程序行为序列；

步骤S340，根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；

步骤S350，根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

基于上述方法，一方面，利用获取到的开发者特征、目标行为特征以及与待检测应用程序相似度满足第一预设条件的恶意应用程序的数量作为检测模型的输入，能够提升对应用程序检测的精度；另一方面，采用安装过待检测应用程序的设备的应用程序行为序列以及恶意应用程序库来获取目标行为特征，增加了脱敏的用户应用程序的安装卸载序列，进而能够获取到不正常用户的行为数据，增加了影响程序检测的先验信息，从而提升应用程序检测的精度。

下面对图3中的每个步骤进行具体说明。

参考图3，在步骤S310中，获取待检测应用程序对应的开发者特征。

在本公开的一种示例实施方式中，服务器可以获取待检测应用程序对应的企业信息标签、安全与隐私标签、资源影响力标签、社会影响力标签中的至少一种作为所述待检测应用程序的开发者特征。

具体而言，服务器可以利用公开、三方舆情(监管通报、媒体点名、企业经营信息)、应用程序的上下架全生命周期数据(包括但不限于企业申请数据、商店审核数据、安全与引擎检测数据、应用上架后的行为数据、应用评论投诉数据等)进行关联分析和挖掘，得到开发者的企业信息标签(企业经营状态相关)、安全与隐私标签(风险、病毒、黑灰产、隐私侵权等)、资源影响力标签(top应用、流行应用)及社会影响力标签(监管通报、媒体点名)等，构建多个应用程序的开发者标签，并建立开发者标签数据库，处理器可以利用上述待检测应用在上述开发者标签数据库中获取待检测用户对应的开发者特征。

在步骤S320中，获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量。

在本公开的一种示例实施方式中，服务器可以首先获取恶意应用程序库，具体而言，可以依赖于开源知识库、三方资源库、现有检测引擎按病毒类型、样本类型等通过关联合并，得到恶意应用程序库。

在本示例实施方式中，在得到上述恶意应用程序库之后，可以确定恶意应用程序库中与待检测应用程序相似度满足第一预设条件的恶意应用程序数量。

在一种示例实施方式中，服务器可以首先获取恶意应用程序库中各应用程序的应用包名称，以及待检测应用程序的应用包名称，然后确定上述恶意应用程序库中与待检测应用程序的应用包名称的相似度满足第一预设条件的恶意应用程序数量。其中，上述第一预设条件可以是应用包名称的相似度大于或等于80％，也可以是应用包名称的相似度大于或等于90％，还可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

在本公开的另一种示例实施方式中，服务器可以首先获取可以首先获取恶意应用程序库中各应用程序的应用程序开发工具包，以及待检测应用程序的应用程序开发工具包，然后确定上述恶意应用程序库中与待检测应用程序的应用程序开发工具包的相似度满足第一预设条件的恶意应用程序数量。其中，上述第一预设条件可以是应用程序开发工具包的相似度大于或等于80％，也可以是应用程序开发工具包的相似度大于或等于90％，还可以是上述应用程序开发工具包完全相同，还可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

在步骤S330，获取安装过所述待检测应用程序的设备的应用程序行为序列；

在本示例实施方式中，服务器可以首先获取至少一个安装过待检测应用程序的设备，然后获取设备上参考应用程序和所述待检测应用程序的安装和卸载的行为序列作为所述应用程序行为序列。

距离而言，假设，上述待检测应用程序为A，安装过待检测应用程序的设备包括设备1。其中，设备1安装过的应用程序还包括B、C、D，此时可以按照时间顺序，获取上述应用程序为A、B、C、D的安装与卸载的行为序列作为上述应用程序行为序列。

步骤S340中，根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征。

在本示例实施方式中，服务器可以利用item2vec算法对上述应用程序行为序列进行建模，设置item2vec算法中向量表征维度，如100维，以及模型的其他参数，如学习率、召回率等训练模型，得到应用包名称的高维向量表征，可以根据上述待检测应用程序的应用包名称在高维向量表征中获取多个候选行为特征。其中，上述候选行为特征能够表达上述待检测应用程序与参考应用程序之间的相关性。需要说明的是，上述向量表征维度该可以是80维、60维等，也可以根据需求进行自定义，在本示例实施方式中不做具体限定。

举例而言，若对上述设备1对应的应用程序行为序列进行建模，且上述向量表征维度为100维，此时，在得到的高维向量表征可以为4×100的矩阵，其中四行可以分别表示应用程序为A、B、C、D分别对应的候选行为特征。

在本示例实施方式中，服务器可以根据上述恶意应用程序库和所述候选行为特征确定所述目标行为特征，具体而言，服务器可以响应所述候选行为特征对应的参考应用程序包含于所述恶意应用程序库，将候选行为特征确定为所述目标行为特征。即将与恶意应用程序相关的候选行为特征作为上述目标行为特征。在本公开的另一种示例实施方式中，也可以直接将上述候选行为特征全部作为上述目标行为特征，在本示例实施方式中不做具体限定。

在本公开的另一种示例实施方式中，服务器可以利用上述恶意应用程序库，通过恶意应用程序的应用包名，关联到安装过该应用的脱敏用户设备，再通过深度学习方法item2vec利用脱敏用户设备的应用程序的安装、卸载序列构建应用程序高维向量表征，通过应用程序的安装、卸载序列找出恶意开发者和不正常用户的行为数据，从而获得丰富的先验信息；

具体而言，服务器可以首先将恶意应用知识库中的恶意应用程序的应用包名称，按病毒类型(如金融欺诈、风险广告、涉黄、赌博、广告作弊等)进行分类，并清洗掉明显滥用的应用包名称(知名公司的流行应用程序的应用包名称)，得到各类别的恶意应用程序的应用包名称列表；通过各类别的恶意应用包名称列表，关联安装过这些应用包名称的脱敏用户设备，按设备id进行分组，得到设备上所有应用程序的安装、卸载行为序列；然后，服务器利用item2vec算法对得到各类别行为序列进行建模，设置item2vec算法中向量表征维度，如100维，以及模型的其他参数，如学习率、召回率等训练模型，得到多个与恶意应用程序相关的应用程序的参考行为特征。其中，上述向量表征维度该可以是80维、60维等，也可以根据需求进行自定义，在本示例实施方式中不做具体限定。

然后，服务器可以根据上述待检测应用程序的应用包名称，在上述参考行为特征中选择目标行为特征，即将应用程序的应用包名称与待检测应用程序的应用包名称相同的参考行为特征确定为目标行为特征。若不包括与待检测应用程序的应用包名称相同的参考行为特征，则将上述目标行为特征设定为空。

步骤S350，根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

在本示例实施方式中，参照图4所示，服务器可以根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果是可以包括步骤S410和步骤S420。

在步骤S410中，根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征确定目标特征。

在本公开的一种示例实施方式中，首先服务器可以将上述开发者特征、所述恶意应用程序数量以及所述目标行为特征进行综合融合，并通过pca降维,将原有的高维特征进行降维，如100维到20维，之后服务器可以利用互信息、信息熵等方法去掉冗余特征，自动选择合适特征，其上述降维的程度已近根据互信息、信息熵对信息进行删减的程度均可以根据用户的需求进行自定义，在本示例实施方式中不做具体限定。其次，pca降维方法，以及利用互信息、信息熵等方法去掉冗余特征的方法均是现有技术中的方法，因此，此处不再赘述。

步骤S420，根据所述目标特征利用至少一个预训练的检测模型得到检测结果。

在本示例实施方式中，参照图5所示，在根据所述目标特征利用至少一个预训练的检测模型得到检测结果时，可以包括步骤S510至步骤S540。

在步骤S510中，获取至少一个预训练的分类检测模型和至少一个预训练的异常检测模型。

在本示例实施方式中，上述检测模型可以包括分类检测模型和异常检测模型，其中，分类检测模型的数量可以是一个，也可以是多个，还可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

其中，上述分类检测模型可以为树模型、GNN模型等，还可以根据用户需求及进行自定义，在本示例实施方式中不做具体限定。

在本示例实施方式中，若上述分类检测模型的数量是多个时，多个分类检测模型可以是不同的模型，以提升对应用检测的检测精度。也可以是相同的模型，在本示例实施方式中不做具体限定。其中，上述分类检测模型的输入可以包括训练数据中的各个应用程序对应的目标特征，输出可以为预测标签和预测分数，如正常和恶意。

在本公开的一种示例实施方式中，异常检测模型的数量可以是一个，也可以是多个，还可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

其中，上述异常检测模型可以为隔离树模型、自编码模型等，还可以根据用户需求及进行自定义，在本示例实施方式中不做具体限定。

在本示例实施方式中，若上述分类检测模型的数量是多个时，多个分类检测模型可以是不同的模型，以提升对应用检测的检测精度。也可以是相同的模型，在本示例实施方式中不做具体限定。其中，异常检测模型的输入可以包括训练数据中的各个应用程序对应的目标特征，输出可以是一个0～1的预测分数，可通过校验样本的准确率设置分数阈值，如0.8，当预测分数大于或等于0.8时为恶意，小于0.8时为正常，其中分数阈值的具体数值可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

在本示例实施方式中，在获取上述至少一个分类检测模型以及上述异常检测模型时，可以首先获取训练数据，其中多个分类检测模型可以共使用用同一个训练数据，即第一训练数据，其中，上述第一训练数据可以包括包括恶意应用程序和正常应用程序，以及恶意应用程序对应的真实标签和正常应用程序对应的真实标签。

多个异常检测模型可以应用同一个训练数据，即第二训练数据，其中，上述第二训练数据可以包括正常应用程序以及正常应用程序对应的真实标签。在一种示例实施方式中，上述第二训练数据也可以包括恶意应用程序以及恶意应用程序对应的真实标签，此时，第二训练可以与上述第一训练数据相同，也可以与上述训练数据不同，在第二训练数据与第一训练数据不同时，具体可以表现为，第二训练数据中的正常应用程序的比例大于第一训练数据中的正常应用程序的比例。

在获取到上述训练数据之后，可以利用上述训练数据完成对上述多个分类检测模型以及多个异常检测模型进行训练。具体而言。

上述预训练的检测模型主要是基于深度学习的神经网络模型。例如，预训练的检测模型可以是基于前馈神经网络的。前馈网络可以被实现为无环图，其中节点布置在层中。通常，前馈网络拓扑包括输入层和输出层，输入层和输出层通过至少一个隐藏层分开。隐藏层将由输入层接收到的输入变换为对在输出层中生成输出有用的表示。网络节点经由边缘全连接至相邻层中的节点，但每个层内的节点之间不存在边缘。在前馈网络的输入层的节点处接收的数据经由激活函数被传播(即，“前馈”)至输出层的节点，所述激活函数基于系数(“权重”)来计算网络中的每个连续层的节点的状态，所述系数分别与连接这些层的边缘中的每一个相关联。应用程序检测模型的输出可以采用各种形式，本公开对此不作限制。应用程序检测模型还可以包括其他神经网络模型，例如，卷积神经网络(CNN)模型、循环神经网络(RNN)模型、生成式对抗网络(GAN)模型，但不限于此，也可以采用本领域技术人员公知的其他神经网络模型。

预训练的检测模型是需要通过上述训练数据训练获得。在上述利用训练算法对初始模型进行训练可以包括如下步骤：选择网络拓扑；使用表示被网络建模的问题的一组训练数据；以及调节权重，直到网络模型针对训练数据集的所有实例表现为具有最小误差。例如，在用于神经网络的监督式学习训练过程期间，将由网络响应于表示训练数据集中的实例的输入所产生的输出与该实例的“正确”的已标记输出相比较；计算表示所述输出与已标记输出之间的差异的误差信号；以及当将误差信号向后传播穿过网络的层时，调节与所述连接相关联的权重以最小化该误差。当从训练数据集的实例中生成的每个输出的误差被最小化时，该初始模型被视为“已经过训练”并定义为预训练的检测模型。

需要说明的是，对分类检测模型的训练以及都上述异常检测模型的训练过程基本相同，采用的训练数据不同，采用的损数函数也可以不同。

举例而言，上述分类检测模型可以是集成树模型，集成树模型以CART树为基模型，交叉信息熵作为损失函数，并将多个基模型的结果进行集成，得到最终模型，在训练时，可以将上述第一训练数据分为训练集和验证集，并设置集成树模型的参数，包括树的深度、学习率等，并通过交叉验证等方式进行训练。

上述异常检测模型可以包括隔离树模型和，DAE模型，在训练时，可以将第二训练数据分为训练集和验证集，并将隔离树模型、DAE模型分开训练，分别设置模型的参数，包括树的深度、学习率等，并通过交叉验证等方式进行训练。

通过上述第一训练数据训练得到多个分类检测模型，同时，通过上述第二训练数据得到多个异常检测模型用于对上述应用程序进行检测。

在步骤S520中，根据所述目标特征和所述分类检测模型计算第一检测结果。

在本示例实施方式中，可以将上述目标特征输入至上述分类检测模型中，即可以得到第一检测结果，若上述分类检测模型的数量是多个，则可以将多个分类检测模型的输出结果进行加权得到上述第一检测结果。

举例而言，可以将上述输出为正常的结果设定为0，恶意的结果设定为1，若包括两个分类检测模型，且两个分类检测模型的输出结果均为1，此时，上述第一检测结果可以为1，即判定上述待检测应用程序为恶意应用程序。两个分类检测模型的输出结果均为0，则第一检测结果可以为0，即判定上述待检测应用程序为正常应用程序。若上述两个分类检测模型的输出结果一个为0，一个为1，此时可以将上述0和1均作为第一检测结果输出，也可以根据两个分类检测模型的权重，计算第一检测结果，例如，输出为1的检测结果的权重为0.8，此时，上述第一检测结果则为0.8。此时，也可以设置一恶意阈值，当上述第一检测结果大于上述恶意阈值时，将上述待检测应用程序判定为恶意应用程序。

在一种示例实施方式中，若上述多个分类检测模型的输出中包括了1，则将上述待检测应用程序判定为恶意应用程序。

需要说明的是，上述分类检测模型的数量可以根据用户需求进行自定义，且上述各分类检测模型的权重可以根据实验结果进行配置，在本示例实施方式中不做具体限定。

在步骤S530中，根据所述目标特征和所述异常检测模型计算第二检测结果。

可以将上述目标特征输入至上述分类检测模型中，即可以得到第二检测结果，若上述分类检测模型的数量是多个，则可以将多个分类检测模型的输出结果进行加权得到上述第二检测结果。

举例而言，若上述异常检测模型包括两个，且上述两个异常检测模型权重分别为0.6和0.4，且上述权重为0.6的异常检测模型的输出结果为0.8，上述权重为0.4的异常检测模型的输出结果为0.9，此时，上述第二检测结果可以是0.84，由于0.84大于上述议程检测结果的分数阈值，因此，第二检测结果可以是上述待检测应用程序为恶意应用程序。

需要说明的是，上述分类检测模型的数量可以根据用户需求进行自定义，且上述各异常检测模型的权重可以根据实验结果进行配置，在本示例实施方式中不做具体限定。

在步骤S540中，根据所述第一检测结果和所述第二检测结果得到目标检测结果。

在本一种示例实施方式中，可以将第一检测结果和第二检测结果做加权平均得到所述目标检测结果，此时，第一检测结果和第二检测结果的权重配置可以根据用户需求进行自定义在本示例实施方式中不做具体限定。

举例而言，若上述第一检测结果和第二检测结果的权重均为0.5，且上述第一检测结果为0.8，第二检测结果为0.84，此时，上述目标阿金侧结果为0.82，同理，可以设置一最终检测阈值，如0.8，当目标输出结果大于0.8时为恶意，小于为正常，其中最终检测阈值的具体数值可以根据用户需求进行自定义，在本示例实施方式中不做具体限定。

在本公开的另一种示例实施方式中，响应上述第一检测结果和第二检测结果中的至少一个为应用程序为恶意应用程序，将待检测应用程序判定为恶意应用程序。

下面结合图6对应用程序检测方法的具体过程进行详细介绍。

具体而言，可以首先执行步骤S610、步骤S620、步骤S630，获取开发者特征，获取与所述待检测应用程序相似度满足第一预设条件的恶意恶意应用程序数量，获取目标行为特征，然后执行步骤S640，根据上述开发者特征、恶意应用程序数量、目标行为特征得到目标特征；然后执行步骤S650和在步骤S660，将目标特征输入至分类检测模型得到第一检测结果，将目标特征输出值异常检测模型得到第二检测结果。然后执行步骤S670，根据第一检测结果和第二检测结果得到目标检测结果。

上述各个步骤的具体过程上述已经进行了详细说明，因此，此处不再赘述。

综上所述，本示例性实施方式中，利用获取到的开发者特征、目标行为特征以及与待检测应用程序相似度满足第一预设条件的恶意应用程序的数量作为检测模型的输入，能够提升对应用程序检测的精度；采用安装过待检测应用程序的设备的应用程序行为序列以及恶意应用程序库来获取目标行为特征，增加了脱敏的用户应用程序的安装卸载序列，进而能够获取到不正常用户的行为数据，增加了影响程序检测的先验信息，从而提升应用程序检测的精度。进一步的采用多个模型协同完成对上述应用程序的检测，进一步的提升了对上述应用程序的检测精度。

需要注意的是，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

进一步的，参考图7所示，本示例的实施方式中还提供一种应用程序检测装置700，包括第一获取模块710、第二获取模块720、第三获取模块730、第四获取模块740和应用检测模块750。其中：

第一获取模块710可以用于获取待检测应用程序对应的开发者特征，具体而言，可以获取所述待检测应用程序对应的企业信息标签、安全与隐私标签、资源影响力标签、社会影响力标签中的至少一种作为所述待检测应用程序的开发者特征。

第二获取模块720可以用于获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量，具体而言可以获取所述恶意应用程序库中与所述待检测应用程序的应用包名称的相似度满足第一预设条件的恶意应用程序数量；或者获取所述恶意应用程序库中与所述待检测应用程序的应用程序开发工具包的相似度满足第一预设条件的恶意应用程序数量。

第三获取模块730可以用于获取安装过所述待检测应用程序的设备的应用程序行为序列，具体而言，可以首先获取至少一个安装过所述待检测应用程序的设备；然后获取所述设备上所有参考应用程序和所述待检测应用程序的安装和卸载的行为序列作为所述应用程序行为序列。

第四获取模块740可以用于根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征，具体而言，根据所述应用程序行为序列利用实体向量表征的神经网络模型确定能够表达所述待检测应用程序与所述参考应用程序之间的相关性的候选行为特征；根据所述恶意应用程序库和所述候选行为特征确定所述目标行为特征。在根据所述恶意应用程序库和所述候选行为特征确定所述目标行为特征时，第四获取模块740可以响应所述候选行为特征对应的参考应用程序包含于所述恶意应用程序库，将所述候选行为特征确定为所述目标行为特征。

应用检测模块750可以用于根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。具体而言，可以首先根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征确定目标特征；然后根据所述目标特征利用至少一个预训练的检测模型得到检测结果。

在本示例实施方式中，在根据所述目标特征利用至少一个预训练的检测模型得到检测结果时，上述应用检测模块750可以首先获取至少一个预训练的分类检测模型和至少一个预训练的异常检测模型；然后，根据所述目标特征和所述分类检测模型计算第一检测结果；其次，根据所述目标特征和所述异常检测模型计算第二检测结果；最后，根据所述第一检测结果和所述第二检测结果得到目标检测结果。

其中，在根据所述第一检测结果和所述第二检测结果得到目标检测结果时，上述应用检测模块750可以将所述第一检测结果和第二检测结果做加权平均得到所述目标检测结果；或响应第一检测结果和第二检测结果中的至少一个为所述应用程序为恶意应用程序，将所述待检测应用程序判定为恶意应用程序。

在本示例实施方式中，所述分类检测模型对应的第一训练数据包括恶意应用程序和正常应用程序，以及恶意应用程序对应的真实标签和正常应用程序对应的真实标签；所述异常检测模型对应的第二训练数据包括正常应用程序以及正常应用程序对应的真实标签。

在获取至少一个预训练的分类检测模型和至少一个预训练的异常检测模型时，应用检测模块750可以首先获取至少一个的初始分类检测模型，并利用所述第一训练数据对所述初始分类检测模型进行训练得到所述预训练的分类检测模型；然后获取至少一个的初始异常检测模型，并利用所述第二训练数据对所述初始异常检测模型进行训练得到所述预训练的异常检测模型。

上述装置中各模块的具体细节在方法部分实施方式中已经详细说明，未披露的细节内容可以参见方法部分的实施方式内容，因而不再赘述。

所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

本公开的示例性实施方式还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤，例如可以执行图3至图6中任意一个或多个步骤。

需要说明的是，本公开所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

此外，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限。

Claims (14)

1.一种应用程序检测方法，其特征在于，包括：

获取待检测应用程序对应的开发者特征；

获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；

获取安装过所述待检测应用程序的设备的应用程序行为序列；

根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；

根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

2.根据权利要求1所述的方法，其特征在于，所述获取待检测应用程序对应的开发者特征，包括：

获取所述待检测应用程序对应的企业信息标签、安全与隐私标签、资源影响力标签、社会影响力标签中的至少一种作为所述待检测应用程序的开发者特征。

3.根据权利要求1所述的方法，其特征在于，所述获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量，包括：

获取所述恶意应用程序库中与所述待检测应用程序的应用包名称的相似度满足第一预设条件的恶意应用程序数量。

4.根据权利要求1所述的方法，其特征在于，所述获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量，包括：

获取所述恶意应用程序库中与所述待检测应用程序的应用程序开发工具包的相似度满足第一预设条件的恶意应用程序数量。

5.根据权利要求1所述的方法，其特征在于，所述获取安装过所述待检测应用程序的设备的应用程序行为序列，包括：

获取至少一个安装过所述待检测应用程序的设备；

获取所述设备上所有参考应用程序和所述待检测应用程序的安装和卸载的行为序列作为所述应用程序行为序列。

6.根据权利要求1所述的方法，其特征在于，所述根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征，包括：

根据所述应用程序行为序列利用实体向量表征的神经网络模型确定能够表达所述待检测应用程序与所述参考应用程序之间的相关性的候选行为特征；

根据所述恶意应用程序库和所述候选行为特征确定所述目标行为特征。

7.根据权利要求6所述的方法，其特征在于，所述根据所述恶意应用程序库和所述候选行为特征确定所述目标行为特征，包括：

响应所述候选行为特征对应的参考应用程序包含于所述恶意应用程序库，将所述候选行为特征确定为所述目标行为特征。

8.根据权利要求1所述的方法，其特征在于，所述根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果，包括：

根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征确定目标特征；

根据所述目标特征利用至少一个预训练的检测模型得到检测结果。

9.根据权利要求8所述的方法，其特征在于，所述根据所述目标特征利用至少一个预训练的检测模型得到检测结果，包括：

获取至少一个预训练的分类检测模型和至少一个预训练的异常检测模型；

根据所述目标特征和所述分类检测模型计算第一检测结果；

根据所述目标特征和所述异常检测模型计算第二检测结果；

根据所述第一检测结果和所述第二检测结果得到目标检测结果。

10.根据权利要求9所述的方法，其特征在于，所述根据所述第一检测结果和所述第二检测结果得到目标检测结果，包括：

将所述第一检测结果和第二检测结果做加权平均得到所述目标检测结果；或

响应第一检测结果和第二检测结果中的至少一个为所述应用程序为恶意应用程序，将所述待检测应用程序判定为恶意应用程序。

11.根据权利要求9所述的方法，其特征在于，包括：

所述分类检测模型对应的第一训练数据包括恶意应用程序和正常应用程序，以及恶意应用程序对应的真实标签和正常应用程序对应的真实标签；

所述异常检测模型对应的第二训练数据包括正常应用程序以及正常应用程序对应的真实标签；

所述获取至少一个预训练的分类检测模型和至少一个预训练的异常检测模型包括：

获取至少一个的初始分类检测模型，并利用所述第一训练数据对所述初始分类检测模型进行训练得到所述预训练的分类检测模型；

获取至少一个的初始异常检测模型，并利用所述第二训练数据对所述初始异常检测模型进行训练得到所述预训练的异常检测模型。

12.一种应用程序检测装置，其特征在于，包括：

第一获取模块，用于获取待检测应用程序对应的开发者特征；

第二获取模块，用于获取恶意应用程序库中与所述待检测应用程序相似度满足第一预设条件的恶意应用程序数量；

第三获取模块，用于获取安装过所述待检测应用程序的设备的应用程序行为序列；

第四获取模块，用于根据所述应用程序行为序列和所述恶意应用程序库获取所述待检测应用程序对应的目标行为特征；

应用检测模块，用于根据所述开发者特征、所述恶意应用程序数量以及所述目标行为特征利用至少一个预训练的检测模型得到检测结果。

13.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至11中任一项所述的应用程序检测方法。

14.一种电子设备，其特征在于，包括：

一个或多个处理器；以及

存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至11中任一项所述的应用程序检测方法。

Images