[发明专利]可解释的基于图嵌入的Android恶意软件自动检测

说明书

本发明公开了一种可解释的基于图嵌入的Android恶意软件自动检测方法。本发明方法从函数调用图的角度出发，挖掘函数调用图中函数节点对应的敏感API序列，获取更为细粒度的内容信息，然后通过基于注意力机制的神经网络实现恶意软件的识别和检测相对于集成算法提高4.5％左右，且获取的结果具有更高的可解释性。

技术领域

本发明属于恶意软件检测研究领域，尤其涉及一种在软件检测和识别后能够解释模型做出决策原因的领域。

背景技术

Android系统因开源与设备售价低廉的特点，在全球范围内拥有广泛的用户。然而，Android的开源特性也使得其极容易受到攻击，这严重威胁用户个人信息安全甚至国家信息安全。2019年全年，360安全大脑共截获移动端新增恶意程序样本约180.9万个，为中国用户拦截恶意程序攻击约9.5亿次。如此数量的恶意软件及其频繁的攻击将更加促进有效恶意检测方法的开发。

越来越多恶意软件检测手段借助深度学习的方法，不仅实现了自动化检测，而且达到了很高的精度。深度学习在安全领域也越来越被认为是强大且有效的工具，而其模型的决策过程对研究人员来说是不透明的。透明性的缺乏，一方面意味着模型难以分析，而且很难防止攻击，另一方面，模型的决策过程难以解释，难以取信于人，限制了其在实际中的应用。面对这一问题，一些工作通过分析模型获取最大影响的特征，为深度学习模型提供了一定的可解释性。这些方法基于特征相互独立的强假设，仅仅考虑特征各自对模型的影响，但在实际中特征之间总是存在着耦合，仅考虑单个特征对模型的影响，难以反映耦合作用。

发明内容

发明目的：为反映不同类型软件中敏感API的耦合作用，挖掘敏感API的组合模式，本发明提出了一种可解释的基于图嵌入学习的方法。首先，从细粒度函数调用图(FFCG)中提取路径，将每一条路径嵌入到一个固定长度的高维向量中。然后使用注意力机制获取每一条路径的注意力，作为该路径的重要性程度指标。最后使用多层感知机做分类任务。

技术方案：为实现上述目的，本发明采用的技术方案为：

一种基于梯度的图神经网络可解释性分析方法，包括以下步骤：

步骤1)使用Androguard获取每一个软件的函数调用图(FCG)。对于FCG 中的每一个节点对应的函数，通过函数中的Davilk指令获取函数调用的敏感API 序列；

步骤2)通过Susi捕获敏感数据流的敏感API库，使用敏感API库筛选出每个函数的敏感API序列，这样可得到细粒度的FCG；

步骤3)通过随机游走细粒度的FCG，将游走到的节点对应的敏感API序列拼接起来，即可得到一系列的路径，称为敏感API路径。

步骤4)使用自然语言处理模型sent2vec将得到的敏感API路径向量化。

步骤5)将向量化的敏感API路径作为输入数据，输入到基于注意力的神经网络模型中，可得到对软件的恶意或非恶意的分类结果。

有益效果：

1)本发明提出了一种新的特征FFCG。该特征相比于传统函数调用图，不仅包含软件结构信息，还融合了程序语义信息。

2)本发明在FFCG上采用基于图嵌入的学习方案。通过注意力机制可获取软件的关键路径并定位恶意行为所涉及的敏感API序列。

附图说明

图1为本发明方法具体实施流程图；

图2为示例代码及其对应的FCG和细粒度的FCG；

图3为本发明方法总体结构示意图；

图4为本发明使用的数据集示意图；

图5为本发明方法同其他算法的实验比较示意图；