使用支持向量机（SVM）检测Android恶意软件

Question

我正在尝试开发一种能够使用支持向量机（SVM）检测用于Android平台的恶意应用程序的应用程序。 我可以从“ logcat”和“ strace”工具中获得许多系统信息，但是现在我不知道如何管理检测真正的恶意应用程序。 有谁知道如何使用这些工具稳定/记录设备的正常行为使用，我的意思是从设备中获取信息并设置行为模式。

最好的祝福

Answer 1

您将始终难以确定恶意应用程序的行为： Kymie MC Tan，Roy A. Maxion，““为什么要使用6？”，定义了Stide的操作限制，一个基于异常的入侵检测器”，第188页，2002年IEEE Symposium on安全和隐私，2002年

但是，如果您真的想尝试，也许起点就在这里： “使用系统调用序列进行入侵检测”。 S. Hofmeyr，S。Forrest和A. Somayaji计算机安全学报。 6，151-180页（1998）

Answer 2

对于Windows API，通常人们会查看顺序以确定他们的操作集。 您也可以找到针对Android平台的论文/研究成果。

Answer 3

我想知道这是否可能...

您如何评价应用程序的行为是否正常？ 您是否计划在一个“学习阶段”中记录某个应用程序的所有操作（如果可以的话，首先无需root访问权限！），然后将其保存为该应用程序“正常行为”的“配置文件”？
假设您记录了应用程序的任何行为，例如，用于在主屏幕上组织图标的工具。 现在说这个应用程序还提供了直接呼叫您最喜欢的联系人之一的功能，它将需要访问您的联系人和拨打电话的权限。 如果几乎不使用此功能，则您可能不会在该应用程序的“学习”期间将其记录下来，并且一旦尝试拨打电话，就将该应用程序评为恶意。
而且，如果某个应用程序在“学习阶段”中显示出恶意行为，但由于尚未确定“正常行为”而无法检测到该行为，该怎么办？

听起来，“正常行为”必须保存在某处以对应用进行评分，然后再安装它，它开始表现出怪异或执行不必要的动作。 但是再说一遍：一个用户想要的东西对于另一个用户来说可能是完全正常的...

我对人们想出的任何出色解决方案都感兴趣，但是我想这将是一个艰难的过程...

Answer 4

如果您先在Android中使用多组恶意呼叫而不是对正常呼叫进行概要分析，该怎么办。

另外，请注意，如果您使用的是无监督分类，则它不知道它对哪种数据进行分类