基于深度學(xué)習(xí)技術(shù)的惡意APP軟件動(dòng)態(tài)檢測技術(shù)

歐陽元東

（東莞理工學(xué)校 廣東省東莞市 523000）

目前，智能手機(jī)普及率不斷的增加，智能手機(jī)應(yīng)用功能也在不斷的增加。由于惡意代碼數(shù)量與種類持續(xù)增加，代碼混淆、加密等技術(shù)也在不斷發(fā)展，增加了網(wǎng)絡(luò)用戶數(shù)量的流量，從而導(dǎo)致惡意代碼檢測面臨挑戰(zhàn)。深度學(xué)習(xí)為促進(jìn)人工智能發(fā)展主要技術(shù)，能夠?qū)θ四X神經(jīng)網(wǎng)絡(luò)模擬，涉及到計(jì)算機(jī)傳統(tǒng)領(lǐng)域。深度學(xué)習(xí)算法重點(diǎn)為大數(shù)據(jù)處理，所以深度學(xué)習(xí)能夠在未來互聯(lián)網(wǎng)用戶信息數(shù)據(jù)爆炸中使用[1]。在信息安全領(lǐng)域中使用深度學(xué)習(xí)，通過全新的框架模式與檢測技術(shù)應(yīng)用到網(wǎng)絡(luò)用戶中，能夠使信息安全得到提高。

1 系統(tǒng)的設(shè)計(jì)結(jié)構(gòu)

本文實(shí)現(xiàn)基于深度學(xué)習(xí)算法的惡意APP 軟件動(dòng)態(tài)檢測系統(tǒng)，此系統(tǒng)利用爬蟲爬取得到良性、惡意軟件的特征，在分析數(shù)據(jù)降維之后使得到的特征通過深度學(xué)習(xí)算法創(chuàng)建三層神經(jīng)網(wǎng)絡(luò)之后，通過數(shù)據(jù)集交叉驗(yàn)證，確定此方法檢測正確率，豐富APP 惡意軟件檢測的方法，使檢測效果得到提高。圖1 為系統(tǒng)的設(shè)計(jì)結(jié)構(gòu)，系統(tǒng)主要包括三大部分，分別為網(wǎng)絡(luò)爬蟲的編寫，收集數(shù)據(jù)集；收集APK靜態(tài)代碼特征與動(dòng)態(tài)行為特征，特征降維之后實(shí)現(xiàn)深度學(xué)習(xí)，并且創(chuàng)建良好神經(jīng)網(wǎng)絡(luò)實(shí)現(xiàn)檢測[2]。

2 惡意代碼的檢測

通過反編譯工具進(jìn)行靜態(tài)分析，以此能夠得出反編譯文件，對(duì)虛擬機(jī)執(zhí)行的動(dòng)作進(jìn)行解釋，去除無關(guān)的動(dòng)作指令，保留手寫字母，將其作為動(dòng)作指令，分別為M為移動(dòng)、R為返回、G為跳轉(zhuǎn)、I為判斷、T 為取數(shù)據(jù)、P 為存數(shù)據(jù)、V 為動(dòng)作指令。之后，對(duì)數(shù)據(jù)提取統(tǒng)計(jì)，以此提供檢測系統(tǒng)特征集和數(shù)據(jù)來源。

通過沙盒實(shí)現(xiàn)動(dòng)態(tài)分析，以此使未知代碼導(dǎo)致的靜態(tài)分析缺乏檢測能力問題得到解決，提高檢測性能。利用開源收集系統(tǒng)中的沙盒工具進(jìn)行分析，從而記錄執(zhí)行次數(shù)與動(dòng)作，分析動(dòng)作且進(jìn)行分類。將靜態(tài)分析思路作為基礎(chǔ)，利用相同算法進(jìn)行機(jī)器學(xué)習(xí)，實(shí)現(xiàn)動(dòng)態(tài)行為檢測模型的創(chuàng)建[3]。

得出的文本信息就是挖掘樣本特征，文檔中的內(nèi)容語言要求人類能夠理解和使用。計(jì)算機(jī)無法理解語義，所以要通過結(jié)構(gòu)化數(shù)據(jù)實(shí)現(xiàn)。那么，就要提取有意義的文本特征，從而解決文本中的問題，得到精準(zhǔn)信息后建模，分類文本。利用監(jiān)督分類實(shí)現(xiàn)數(shù)據(jù)挖掘分類[4]。

3 詞向量模型的設(shè)計(jì)

詞向量模型是將文本單詞轉(zhuǎn)變成為數(shù)字向量的方法，計(jì)算機(jī)系統(tǒng)處理后此能夠理解文本語義信息，并且對(duì)信息進(jìn)行存儲(chǔ)。在提取文本信息之后，通過圖2 的預(yù)處理流程，首先使原始文本中分詞與相應(yīng)預(yù)處理使其作為詞序列。在語料詞表中的詞都具有唯一編碼，也就是詞編碼。在得到詞序列之后是按元素序列的轉(zhuǎn)變，最后使詞編號(hào)序列所對(duì)應(yīng)詞語轉(zhuǎn)變成為Glove 詞向量方式。通過此處理，使原始文本信息轉(zhuǎn)變成為特征圖形式。

n-gram 為詞向量模型出現(xiàn)前的統(tǒng)計(jì)語言模型，此模型使用較為廣泛。統(tǒng)計(jì)語言模型能夠?qū)崿F(xiàn)單詞序列和概率密度學(xué)習(xí)相互結(jié)合，但是此過程較為復(fù)雜，還會(huì)出現(xiàn)維數(shù)災(zāi)難等問題。為了使此問題得到解決，學(xué)者提出了利用神經(jīng)網(wǎng)絡(luò)訓(xùn)練詞分布表示，通過相鄰句子指數(shù)級(jí)別信息構(gòu)成訓(xùn)練語句。此模型能夠?qū)W習(xí)詞語出現(xiàn)的序列與分布，利用相鄰詞預(yù)測當(dāng)前值，實(shí)現(xiàn)模型最大化的出現(xiàn)概率進(jìn)行創(chuàng)建[5]。

圖1：系統(tǒng)的設(shè)計(jì)結(jié)構(gòu)

圖2：預(yù)處理流程

此神經(jīng)網(wǎng)絡(luò)模型訓(xùn)練集為次序列W1,...,WT-1,WT，并且利用學(xué)習(xí)合適函數(shù)估算條件概率：

約束條件滿足為：

此神經(jīng)網(wǎng)絡(luò)模型主要包括隱藏層與共享層的特征層C，利用Softmax 函數(shù)創(chuàng)建輸出層：

公式中的yi 是指每個(gè)輸出層i 缺乏歸一化概率，最終輸出計(jì)算公式為：

公式中的x 指的是輸入，其他為參數(shù)。

通過h 隱藏單元數(shù)目創(chuàng)建神經(jīng)網(wǎng)絡(luò)，|v|指的是詞表大小，|v|維列向量表示b。假如利用隨機(jī)梯度降低方法進(jìn)行訓(xùn)練，梯度更新法通過以下公式表示：

一般神經(jīng)網(wǎng)絡(luò)輸入層只是提取樣本特征，對(duì)模型輸入層x 進(jìn)行優(yōu)化。利用分析結(jié)果看出來，此語言模型的效果比較好。

利用前面分析表示，神經(jīng)語言模型以以上詞預(yù)測出現(xiàn)下個(gè)詞的概率，利用監(jiān)督學(xué)習(xí)思想。文本中的全部話語指的都是需要分析與處理樣本，當(dāng)前詞是指訓(xùn)練標(biāo)簽，然后訓(xùn)練詞向量，訓(xùn)練目標(biāo)指的是當(dāng)前詞的最大化概率[6]。

4 實(shí)驗(yàn)設(shè)計(jì)和分析

本文通過Python 語言實(shí)現(xiàn)惡意APP 軟件動(dòng)態(tài)檢測系統(tǒng)數(shù)據(jù)預(yù)處理模塊與API 調(diào)用序列編碼模塊，在數(shù)據(jù)與處理模塊的反編譯工具使用Androguard 工具包，惡意應(yīng)用檢測模塊神經(jīng)網(wǎng)絡(luò)模型為Keras 深度學(xué)習(xí)框架。本文開發(fā)將CNN 為基礎(chǔ)的惡意應(yīng)用檢測原型系統(tǒng)，需要環(huán)境與工具為筆記本電腦、8G 內(nèi)存、Python3.6、Java開發(fā)工具包和PyCharm。

惡意應(yīng)用檢測為APP 惡意應(yīng)用檢測系統(tǒng)的核心階段，重點(diǎn)為創(chuàng)建模型，優(yōu)化模型結(jié)構(gòu)，分類模型訓(xùn)練等。利用深度學(xué)習(xí)技術(shù)創(chuàng)建CNN 模型，深度學(xué)習(xí)技術(shù)為基于高層次與高度模塊化神經(jīng)網(wǎng)絡(luò)API，主要特點(diǎn)為代碼結(jié)構(gòu)清晰、模型創(chuàng)建需要少量代碼量等[9]。在創(chuàng)建的CNN 模型中，利用adam 作為優(yōu)化函數(shù)，使用ReLU 作為激活函數(shù)。因?yàn)闉槎诸悊栴}，所以使用binary_crossentropy 作為損失函數(shù)，網(wǎng)絡(luò)模型最后一層輸出層利用sigmoid 成為激活函數(shù)。在模型訓(xùn)練過程中，迭代輪數(shù)與樣本數(shù)在不斷的增加，也增加了模型訓(xùn)練準(zhǔn)確率。在通過迭代輪數(shù)之后，也會(huì)降低損失，增加準(zhǔn)確率。模型收斂后，也就結(jié)束訓(xùn)練。圖4 為訓(xùn)練準(zhǔn)確率的變化，在歷經(jīng)41 次后，模型準(zhǔn)確率逐漸穩(wěn)定。

因?yàn)樯疃葘W(xué)習(xí)模型中有大量節(jié)點(diǎn)與隱藏層，主要特點(diǎn)為具有較強(qiáng)擬合能力，能夠接受大量特征輸入，對(duì)應(yīng)用樣本內(nèi)在信息描述。為了避免出現(xiàn)過擬合的情況，在實(shí)驗(yàn)過程中使用正則化方法。在損失函數(shù)后添加正則化項(xiàng)，對(duì)模型復(fù)雜程度控制，避免模型過分?jǐn)M合數(shù)據(jù)。在訓(xùn)練模型中將部分參數(shù)更新忽略，因?yàn)槟Ｐ鸵腚S機(jī)性，使泛化能力得到提高，降低過擬合情況。

5 結(jié)束語

本文利用深度學(xué)習(xí)技術(shù)提取APP 多類行為特征數(shù)據(jù)，之后使特征數(shù)據(jù)創(chuàng)新性轉(zhuǎn)變成為樣本特征矩陣。本文創(chuàng)新傳統(tǒng)分類算法在對(duì)于大數(shù)據(jù)低效率型、局限性、同類型特征在APP 惡意行為檢測中的問題，使算法分類判性可靠性得到提高。本文對(duì)設(shè)計(jì)的系統(tǒng)進(jìn)行實(shí)驗(yàn)，通過實(shí)驗(yàn)結(jié)果表示，本作品在執(zhí)行效率、準(zhǔn)確率方面具有良好效果。

圖3：詞向量模型訓(xùn)練的流程

圖4：訓(xùn)練準(zhǔn)確率的變化