基于攻击树的android恶意软件混合检测方法研究

《基于攻击树的android恶意软件混合检测方法研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、基于攻击树的Android恶意软件混合检测方法研究ResearchonAttackTreeBasedAndroidMalwareDetectionwithHybridAnalysis学科专业：软件工程研究生：赵帅指导教师：李晓红教授天津大学软件学院二零一四年十二月独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得天津大学或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示

2、了谢意。学位论文作者签名：签字日期：年月日学位论文版权使用授权书本学位论文作者完全了解天津大学有关保留、使用学位论文的规定。特授权天津大学可以将学位论文的全部或部分内容编入有关数据库进行检索，并采用影印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国家有关部门或机构送交论文的复印件和磁盘。（保密的学位论文在解密后适用本授权说明）学位论文作者签名：导师签名：签字日期：年月日签字日期：年月日摘要移动安全问题引起了广泛的关注，针对移动恶意软件对用户造成严重危害的问题，本文提出了一种基于攻击树的Android平台恶意软件检测方法。本文对攻击树模型进行了大

3、量的语义扩展，提供了一种新型的组织和利用行为检测规则的方法，攻击树的结构建立起攻击目标和软件基本行为能力之间的关系，攻击路径代表特定场景下的攻击方式，针对攻击路径制定一系列行为检测规则，就是考虑特定场景下恶意软件区别于正常软件的行为特征，这样可以实现细粒度和全方位的静态行为能力评估和动态行为特征检测。混合检测方法有机结合了静态分析和动态分析，静态分析根据软件基本行为能力对攻击树进行标记，根据标记情况实现过滤正常软件并确定可疑软件可能的攻击途径，动态分析根据静态分析得到的软件行为能力，选择攻击路径对应的行为检测规则进行处理，根据软件运行时特征检测恶意软件。在动

4、态分析过程中，有针对性的根据软件的组件信息模拟系统事件，触发更多软件行为，保证软件充分运行实现更高的代码覆盖率，防止漏报现象。本文根据提出的恶意软件检测方法实现了辅助恶意软件检测的原型工具AMDetector，该工具可以实现自动化检测过程，在对大量软件样本进行实验，统计结果达到88.14%的检出率和1.80%的误报率，证明了方法的有效性。关键词：Android恶意软件攻击树检测方法混合分析ABSTRACTMobilesecuritydrawswidespreadattention.Tomitigatetherampantmalwareproblem,this

5、paperproposesanAndroidmalwaredetectionapproachbasedonattacktree.Attacktreemodelisextendedtoprovideanovelwaytoorganizeandexploitbehaviorrules.Connectionsbetweenattackgoalsandapplicationcapabilityarerepresentedbyanattacktreestructureandbehaviorrulesareassignedtoeveryattackpathintheat

6、tacktree.Inthisway,fine-grainedandcomprehensivestaticcapabilityestimationanddynamicbehaviordetectioncanbeachieved.Thisapproachemploysahybridstatic-dynamicanalysismethod.Staticanalysistagsattacktreenodesbasedonapplicationcapability.Itfilterstheobviouslybenignapplicationsandhighlight

7、sthepotentialattacksinsuspiciousones.Dynamicanalysisselectsrulescorrespondingtothecapabilityandconductsdetectionaccordingtoruntimebehaviors.Indynamicanalysis,eventsaresimulatedtotriggerbehaviorsbasedonapplicationcomponents,andhenceitachieveshighcodecoverage.Weimplementanautomaticma

8、lwaredetectionprototypesys