精读 HinDroid：基于异构信息网络的安卓恶意软件检测

精读 HinDroid基于异构信息网络的安卓恶意软件检测阅读笔记| 来源2017年KDD最佳应用数据科学论文论文标题HinDroid: An Intelligent Android Malware Detection System Based on Structured Heterogeneous Information Network一、论文背景与问题2017年KDD最佳应用数据科学论文关注的是如何有效监测安卓手机系统下的恶意软件。据预测到2019年全球手机市场中77.7%将是智能手机其中安卓系统市场占有率至少80%。由于安卓的开放性和分散的应用市场生态恶意软件层出不穷——赛门铁克的《互联网安全威胁报告》甚至认为五分之一的安卓软件是恶意软件。传统的恶意软件检测依赖「指纹签字」技术但这种扊段容易被恶意开发者绕过因此寻找更复杂有效的检测方式成为信息安全领域的核心目标。二、作者信息作者单位背景Shifu Hou第一作者西弗吉尼亚大学博士生多次发表相关领域论文叶艳芳第二作者西弗吉尼亚大学助理教授2010年厦门大学博士毕业曾在金山、科摩多从事信息安全研发宋阳秋第三作者香港科技大学助理教授曾任职微软亚洲研究院、IBM研究院、华为诺亚方舟实验室2009年清华大学博士毕业Melih Abdulhayoğlu科摩多ComodoCEO1998年创立公司提供了论文所用数据集该论文因第一作者为在读学生同时也获得了最佳学生论文。三、论文主要贡献核心贡献根据安卓API调用提出了一种基于结构性异构信息网络的方法对安卓程序的API模式进行复杂建模从而理解整个程序的语义。在此基础上采用多核学习Multi-Kernel Learning对程序语义模式进行分类。该方法在科摩多的真实数据上达到了极高的准确度远超当时主流方法且已在科摩多产品中部署。四、核心方法剖析4.1 反汇编提取API调用安卓软件被打包为Dex格式的Dalvik执行文件无法直接分析。通过Smali反汇编器将Dex解析为Smali代码后提取所有API调用作为程序行为建模的基础。4.2 构造四类基础矩阵从API调用中构建四类矩阵表达API与App之间的基本特征App-API包含矩阵某个App是否包含某个APIAPI共现矩阵代码段级某两个API是否同时出现在某段代码中API共现矩阵App级某两个API是否出现在同一个App中API调用方式矩阵某两个API是否使用了相同的调用方法4.3 异构信息网络与元路径引入异构信息网络Heterogeneous Information Network建模工具将传统图模型扩展为能够表达多种实体类型和多种关系类型的统一框架。在本文中实体类型App、API调用关系类型四类对应上述矩阵即图的邻接矩阵进一步使用元路径Meta-Path定义高阶关系。例如定义一条「App → API → App」路径描述两个App可能共享相同的API调用。基于安全领域的领域知识作者共定义了16种元路径全面捕捉App与API之间的复杂语义关系。4.4 多核学习分类将每种元路径产生的新矩阵视为一个「核」采用多核学习同时完成两个任务学习一个线性分类器判断程序是否为恶意软件学习每个App到各核的非线性转换五、实验效果指标结果数据集科摩多2017年两个月内1,834个App正负例各半 30,000 App扩展集F1值98%准确率98%对比方法F1值在85%~95%之间神经网络、朴素贝叶斯、决策树、支持向量机对比商业软件准确率约92%Norton、Lookout、CM本文方法在所有对比中均显著领先。六、小结这篇文章解决的核心问题是安卓恶意软件的智能检测。主要贡献在于提出基于结构性异构信息网络的方法来建模安卓程序的API语义使用16种元路径定义App与API之间的高阶复杂关系采用多核学习完成恶意软件判别在真实数据集上达到98%的F1值和准确率超越当时主流方法和商业软件