[发明专利]基于网络流量空间时间特征的移动恶意应用家族分类方法

说明书

本公开提供了一种基于网络流量空间时间特征的移动恶意应用家族分类方法，获取移动终端应用程序的流量，提取完整的TCP会话流；提取TCP会话中TCP数据包的字节码和HTTP数据包的字节码；根据得到的字节码，利用预设深度学习模型分别提取流量空间特性和流量时间特征，得到移动恶意应用家族分类结果；本公开通过提取TCP会话中TCP数据包的字节码和HTTP数据包的字节码，使用卷积神经网络自动提取流量空间特性，使用长短期记忆网络自动提取流量时间特征，实现了移动恶意应用家族的准确分类。

技术领域

本公开涉及数据处理技术领域，特别涉及一种基于网络流量空间时间特征的移动恶意应用家族分类方法。

背景技术

本部分的陈述仅仅是提供了与本公开相关的背景技术，并不必然构成现有技术。

移动智能终端技术发展和普及给移动服务及应用带来巨大变革，智能手机已成为集交互通信、个人业务、金融服务、商业消费及娱乐服务等于一体的强大个人移动智能终端。目前流行的手机操作系统主要包括Android、iOS和Windows phone。据统计，在移动终端市场中，Android拥有高达87.6％的市场占有率，并且有进一步提升的趋势。据移动应用和数字内容数据分析机构发布的报告显示，某年全球Android用户的应用下载量将突破1700亿个，相应开支超过500亿美元，同比去年应用下载量增长了200亿个。据分析机构公布的某年某季度报告显示，新Android恶意样本数量累计截获320万个，与前一年同期相比增长了40％，平均每天截获新增恶意软件样本11700余个。这种智能终端感染恶意软件的趋势，随之带来的非法监视、恶意模仿、隐私数据泄露甚至巨额的经济损失等问题严重影响人们的生活和社会安全。

发明人发现，恶意软件主要分类有木马、后门、蠕虫、僵尸网络、攻击性广告软件、间谍软件等，带来的恶意行为是窃取隐私、远程控制、骚扰用户、恶意扣费、私自安装、窃取账户、恶意积分墙、群发短信等。众多研究人员通过网络流量的统计特征和内容特征，可比较高准确率的识别该软件属于正常或恶意软件，但在具体识别是哪类恶意行为上，效率和准确率依旧有欠缺。

发明内容

为了解决现有技术的不足，本公开提供了一种基于网络流量空间时间特征的移动恶意应用家族分类方法，通过提取TCP会话中TCP数据包的字节码和HTTP数据包的字节码，使用卷积神经网络自动提取流量空间特性，使用长短期记忆网络自动提取流量时间特征，实现了移动恶意应用家族的准确分类。

为了实现上述目的，本公开采用如下技术方案：

本公开第一方面提供了一种基于网络流量空间时间特征的移动恶意应用家族分类方法。

一种基于网络流量空间时间特征的移动恶意应用家族分类方法，包括以下步骤：

获取移动终端应用程序的流量，提取完整的TCP会话流；

提取TCP会话中TCP数据包的字节码和HTTP数据包的字节码；

根据得到的字节码，利用预设深度学习模型分别提取流量空间特性和流量时间特征，得到移动恶意应用家族分类结果。

作为可能的一些实现方式，预设深度学习模型的训练，包括：

收集每个恶意家族APK的流量和正常APK的流量，提取完整的TCP会话流；

提取每条流的TCP协议数据包和HTTP协议数据包，存入JSON文件；

读取上一步获取的JSON文件，计算每个数据包的字节分布，存入JSON文件；

建立基于卷积神经网络和长短期记忆网络的深度学习模型，利用上一步得到的JSON文件，处理正常样本和恶意家族样本的不平衡关系，对深度学习模型进行训练。

作为进一步的限定，提取每条流的TCP协议数据包和HTTP协议数据包，存入JSON文件，包括以下步骤：