基于卷积神经网络恶意安卓应用行为模式挖掘.pdf

本文介绍了一种利用卷积神经网络（CNN）来挖掘恶意安卓应用行为模式的方法，旨在解决现有检测技术中特征提取过于抽象和冗余的问题。文章发表于2020年12月的《Chinese Journal of Network and Information Security》第六卷第六期，由华中科技大学网络空间安全学院的研究团队完成。 传统的安卓恶意应用检测主要依赖于特征提取，这些特征可能包括应用的系统调用、权限请求等。然而，这些特征往往缺乏高级语义的理解，难以准确反映出应用的具体行为模式。为此，研究团队提出了一种新的可解释性检测方法，该方法结合了社交网络分析和深度学习技术。 他们利用社交网络检测算法对可疑的系统调用组合进行聚类，这有助于减少特征冗余并揭示潜在的关联模式。接下来，将聚类后的系统调用组合映射为单通道图像，这种表示方式便于应用卷积神经网络进行处理。CNN是一种强大的深度学习模型，尤其在图像识别和分类任务中表现出色。通过训练CNN，模型可以学习到不同系统调用组合之间的模式，并用于区分恶意应用和正常应用。 为了增强模型的可解释性，研究者采用了卷积层梯度权重类激活映射（Grad-CAM）可视化技术。Grad-CAM能够突出显示输入图像中影响模型决策的区域，因此，它可以帮助研究人员定位出最可疑的系统调用组合，进一步理解恶意应用的行为模式。这种方法不仅提高了检测效率，还能揭示出恶意行为的本质特征。 实验结果显示，提出的检测方法在保持高效性能的同时，能够准确地发现恶意应用的行为模式。这表明，结合社交网络分析和CNN的策略对于安卓应用的恶意行为识别是有效的，也为未来的研究提供了新的思路。 该研究强调了深度学习在安卓应用安全领域的潜力，特别是卷积神经网络在行为模式挖掘中的作用。通过优化特征表示和引入可解释性技术，可以提升恶意软件检测的准确性和理解度，这对于提升移动设备的安全性具有重要意义。未来的研究可能会进一步探索如何优化CNN架构以提高检测性能，以及如何利用其他深度学习技术来增强模型的解释能力。