基于APP网络行为追踪和特征学习的移动恶意程序风险评估方法

With the evolving mobile internet and the prevailing smart mobile devices, typical mobile application platform and SDK such as Android extraordinarily simplify the development procedure of new application to extend device functionalities. However, they also facilitate the occurrence of mobile malware. Current Android malware detection mostly rely on apk code analysis to reveal permission request, API calls, and system resource visit, which are unreliable for zero-day malware detection, or detection of sophisticatedly coded malware. Typical mobile malware cannot conduct harmful operations without using network connections and services, which inspire us to detect mobile malware by monitoring application's network behaviors. We propose to profile and analyze mobile application behaviors on multiple layers of the Internet protocol stack. Cross-layer network behavior profiles are further refined and summarized by using the data mining clustering technique. Typical network behaviors of mobile malwares can be used to train classifiers to evaluate and detect risks of unknown new applications. This project targets to both prove and specify the correlation between mobile malware and their anomaly network behaviors, and based on the theory, design and implement an application's maliciousness and risk evaluation system based on application's cross-layer network behaviors.

随着移动互联网发展和移动设备的普及，移动应用平台在丰富手机功能、方便应用开发的同时，也滋养了众多恶意应用程序。当前移动恶意检测技术过分依赖分析代码本身，局限于应用代码所展现的权限需求、系统调用、资源访问等程序特征和行为，无法应对零日攻击和复杂代码的恶意程序。典型移动应用的恶意行为和破坏活动，大多借助移动互联网连接和服务来加以实施，可以通过监控单个移动应用程序的网络行为和网络资源使用情况发现。据此本项目提出在互联网通讯的多层次针对移动应用进行网络行为的动态连续监控、单独建档和特征提取。层次网络行为特征之间相互考证，采用数据挖掘的技术对应用程序的网络行为进行聚类，归纳出典型性恶意行为作为检测标准，对未知应用通过比对恶意行为特征匹配度来估算运行风险。本项目探求移动应用恶意属性和分层异常网络行为之间的理论相关性，据此设计并实现一个基于移动应用网络行为特征提取和深度学习的应用程序恶意检测和风险评估系统。

伴随着以3G/4G为代表的高速数据蜂窝网络和以WIFI接入为代表的宽带互联网服务的普及，移动设备已经成为互联网上网服务接入的主流平台，而移动应用程序APP也成为互联网流量的主要源头和宿主。运行在移动互联网设备上的应用程序具有功能专一、分类明确、网络交互过程明显的特征。不管是可信应用程序还是恶意软件，都依赖于网络连接和服务来加以实施其核心功能。本项目提出可以通过监控和追溯单个移动APP的网络行为特征和流量时序，基于APP本身的自我行为一致性和APP同类行为相似性，实现在网络层面对于应用APP异常操作的检测与风险评估。最终实现对于基于网络交互行为的恶意应用的动静态描述、特征提取、行为分析、流量时序度量、行为模式学习、app自动分类、风险评估与可信认证管理等一系列管理操作。.围绕这一研究目标，本课题主要探索并突破了如下关键问题：移动APP的动静态描述与区分方法，基于网络行为一致性和趋同性的安卓恶意软件自动分类和检测方法，面向移动APP的网络流量混淆和隐私保护方法，基于循环神经网络的APP网络时序行为逻辑模型训练与应用方法，基于软件定义网络的程序异常行为、攻击流量检测，APP风险评估与认证管理方法等。作为项目的显著成果，首次实验证明了移动APP的行为一致性猜想，首次提出了采用具有时序依赖关系的改良的循环神经网络进行网络流量分析与建模，首次实现了基于深度学习的程序网络交互行为度量与异常检测、风险评估。.作为项目的研究成果，共计发表了36篇学术论文，申请了10项发明专利，培养了18名硕博士毕业生，同时实现了相应技术成果在航天、国防等领域的初步应用。.本项目研究的结论和成果，可以有效推动移动互联网应用程序的风险管理与安全态势监控，有效实现基于通用网络协议和网络流量分析的程序特质描述和动态区分，为未来宽带、高速、移动的互联网服务的普及和发展，提供安全保障和风险度量。