Deep Android Malware Detection小结

题目：Deep Android Malware Detection

作者：Niall McLaughlin, Jesus Martinez del Rincon, BooJoong Kang

年份：2017

会议：CODASPY

2.解决的问题

之前的方法需要对程序进行分析然后提取具有识别能力的特征用于恶意软件的分类。在本文中应用卷积神经网络来对恶意软件进行分类，该方法是受到基于n-gram的恶意软件检测的启发，但不同于基于n-gram的恶意软件检测，对于n个操作数作为卷积神经网络的输入，卷积神经网络会自动的识别恶意软件的特征。

3.研究点

如果构造用于恶意软件分类的卷积神经网络；如何提取卷积神经网络的输入；

4.研究假设

无

5.关键算法

在介绍算法之前需要了解一下什么是n-gram

n-gram是计算机语言学和概率论范畴内的概念，是指给定的一段文本或语音中N个项目（item）的序列。项目（item）可以是音节、字母、单词。通常n-gram取自文本或语料库。举例来说：将"informationretrieal"视为一段文本，它的5-grams的item依次为:

infor,nform,forma,ormat,rmati,matio,ation,tionr,onret,nretr,retri,etrie,triev,rieva,ieval

提取卷积网络的输入

将.apk文件反编译为.smali文件，然后提取操作符。由于在Dalvik中的字节码中定义的操作符有218个，因此将每个操作符映射成一个操作数。为了说明，这里假设提取到的应用的操作数序列为{1,2,3,4,5,6,7,8},N的大小的为4，根据n-gram的定义，输入有{1,2,3,4}，{2,3,4,5},{3,4,5,6},{4,5,6,7},{5,6,7,8}共5组

将每一个操作数表示成one-hot形式（one-hot是一个218维的向量，对应的操作数上置为1，其他置为0）。之所以将操作数表示成one-hot的形式是因为这样可以将one-hot向量映射成一个k维的嵌入空间，这样可以表示不同操作数之间的关系。

构造卷积神经网络

卷积网络的整体结构如下,包括一个Embedding层，两个卷积层，一个池化层，一个全连接层，以及最后的softmax分类层。

用one-hot表示的操作数序列矩阵M(N*218)通过Embedding Layer映射成矩阵P(N*K)。每个卷积层有m个过滤器，每个过滤器为s1*k,这意味着每个过滤器可以检测是s1个序列的操作数，每个过滤器会输出n*1大小的向量，将这些向量叠在一起就得到了矩阵A1(n*m)（注意这里和传统的卷积有所不同）,通过第二层卷积以及池化层池，化层的公式如下（注意这里和传统卷积池化层公式有所不同，目的是为了得到一维向量）

得到一个一维向量。得到的一维向量再作为传统神经网络进行分类的训练。

6.数据

7.优点

通过简单的操作数序列可以卷积神经网络可以自动的学习一些比较复杂的特征用于恶意软件的分类。克服了传统的基于n-gram的算法中n不能太大的限制。

8.不足之处

9.可能的后续改进点以及创新点

是否可以其他的深度学习模型用于恶意软件的检测。