[发明专利]基于随机森林分类方法的Android平台恶意应用检测方法

摘要

本发明公开了一种基于随机森林分类方法的Android平台恶意应用检测方法。包括下列步骤：获取APP样本，包括恶意和善意的APP样本；获取APP的所有可申请权限列表、API信息，得到权限集和API集；提取APP样本的静态特征，包括所申请的权限、所调用的API；基于各APP样本的静态特征、权限集和API集构建样本库，所述样本库包括的表项有：APP标识符、区分善意和恶意的类型标识符、对权限集中各权限的申请标识符、对API集中的各API的调用标识符；基于样本库构建随机森林的每棵决策树，得到随机森林分类器；基于随机森林分类器对待检测APP进行检测。本发明的实施，能实现对恶意APP的高效检测，提高Android平台的安全性。

主权项

基于随机森林分类方法的Android平台恶意应用检测方法，其特征在于，包括下列步骤：获取Android应用样本，包括善意应用样本和恶意样本；获取Android应用的所有可申请权限、所有可调用API，得到权限集和API集；提取各Android应用样本的静态特征，包括各应用样本所申请的权限、所调用的API；基于各Android应用样本的静态特征、权限集和API集构建样本库，所述样本库包括的表项有：Android应用标识符、区分善意和恶意的类型标识符、对权限集中各权限的申请标识符、对API集中的各API的调用标识符；根据样本库，构建随机森林的每棵决策树，得到随机森林分类器：基于样本库进行取样，得到不同组的训练数据集，将一组训练数据集所包括的Android应用作为决策树的根节点下的Android应用，对决策树的各节点进行分裂处理，得到一棵决策树：随机选择基于当前节点下的m个静态特征，并分别计算各静态特征所对应的信息增益，其中m为预设值；取信息增益最大的静态特征作为当前节点的分裂属性，基于分裂属性对每个节点进行分裂，即将具有分裂属性所对应的静态特征的Android应用分到一个叶子节点，不具有分裂属性所对应的静态特征的Android应用分到另一个叶子节点，直到当前节点下的Android应用的个数为1或分裂属性用完；各叶子节点所属的类别取决于其下的Android应用的类型，若同时包括两类Android应用，则取决于包含Android应用个数最多的类型；提取待检测Android应用的静态特征，基于随机森林分类器对待检测Android应用进行分类，检测待检测Android应用是否为恶意应用。