Обнаружение вредоносных программ для Android с использованием машин опорных векторов (SVM) - PullRequest
1 голос
/ 13 января 2011

Я пытаюсь разработать приложение, способное обнаруживать вредоносные приложения для платформы Android, с помощью Support Vector Machines (SVM). Я могу получить много системной информации с помощью инструментов «logcat» и «strace», но я не знаю, как управлять обнаружением реальных вредоносных приложений. Кто-нибудь знает, как зафиксировать / записать нормальное поведение устройства при использовании этих инструментов, я имею в виду, получить информацию от устройства и установить образец поведения.

С наилучшими пожеланиями

Ответы [ 4 ]

3 голосов
/ 13 января 2011

У вас всегда будут проблемы с определением поведения вредоносного приложения: Kymie M.C. Tan, Roy A. Maxion, «Почему 6?» Определение эксплуатационных пределов Stide, детектора вторжения на основе аномалий », sp, pp.188, 2002 IEEE Symposium on Security and Privacy, 2002

Но если вы действительно хотите попробовать, возможно, отправная точка здесь: «Обнаружение вторжения с использованием последовательностей системных вызовов». S. Hofmeyr, S. Forrest и A. Somayaji Journal of Computer Security Vol. 6, стр. 151-180 (1998)

0 голосов
/ 07 марта 2013

В Windows API обычно люди смотрят на последовательность действий, чтобы определить свои действия.Вы можете найти статьи / исследования, выполненные на эту тему для платформы Android.

0 голосов
/ 26 августа 2011

что делать, если вы сначала используете наборы вредоносных вызовов в Android, а не профилируете обычные.

Кроме того, обратите внимание: если вы используете неконтролируемую классификацию, она не знает, какие данные она использует.классифицирует

0 голосов
/ 13 января 2011

Интересно, возможно ли это ...

Как вы хотите оценить, является ли поведение приложения нормальным?Планируете ли вы «фазу обучения», когда все, что делает определенное приложение, записывается (если это вообще возможно без корневого доступа!), А затем сохраняется как «профиль» «нормального поведения» этого приложения?Скажем, вы записываете любое поведение приложения, например, инструмент для упорядочивания значков на рабочем столе.Теперь, скажем, это приложение также предлагает функцию для вызова одного из ваших любимых контактов напрямую, ему нужно разрешение для доступа к вашим контактам и для телефонных звонков.Если эта функция практически не используется, вы, вероятно, не запишете ее во время периода «изучения» этого приложения и оцените приложение как вредоносное, когда оно попытается сделать телефонный звонок.А что, если приложение показывает вредоносное поведение во время «фазы обучения», когда вы не можете обнаружить его, потому что вы еще не определили «нормальное поведение»?

Похоже, что «нормальное поведение» должно бытьСохранено где-то, чтобы оценить приложение перед его установкой, и оно начинает действовать странно или выполняет нежелательные действия.Но опять же: то, что нежелательно для одного пользователя, может быть совершенно нормальным для другого ...

Я заинтересован в любых причудливых решениях, которые придут люди, но я думаю, что это будет сложно ....

...