Separating Behavioral Effect from Predictive Value in Dynamic Android Malware Detection: An Empirical Decomposition Study
这项实证研究表明，尽管融合 Strace 和 DroidBox 运行时特征能显著提高动态 Android 恶意软件检测的预测性能，但行为丰富度与预测效用仍然是不同的属性，因为执行时长和序列排序效应并不能一致地转化为更好的判别能力。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
每天，全球各地的手机上都有数十亿个安卓应用程序在运行，执行着从发送消息到管理银行账户等各种任务。由于这些应用如此普遍，它们也成为了旨在窃取数据或破坏设备的恶意软件的主要目标。多年来，安全研究人员一直试图构建能够识别这些坏应用的系统，以在它们造成伤害之前将其拦截。实现这一目标最有效的方法之一是观察应用在运行时是如何表现的。动态分析系统并不是仅仅通过阅读代码来查看它“可能”做什么，而是实际上在一个安全、隔离的环境中启动该应用，并记录它采取的每一个动作。这可能包括应用尝试打开网络连接、访问联系人列表或调用手机操作系统中的特定函数。人们希望这些动作能留下一个独特的指纹，从而将无害的工具与危险的病毒区分开来。
然而，观察一个应用的运行并不像拍一张照片那么简单。应用被允许运行的时长、其执行动作的具体顺序，以及用于观察它的工具，都可能改变最终呈现出的景象。如果给一个恶意应用更多的时间，它可能会执行更多的动作，从而使其看起来比一个仅仅快速完成任务的无害应用更加活跃。同样，两种不同的工具可能会以略微不同的方式记录同一个应用的行为，从而导致对什么才是真正重要的因素产生困惑。研究人员面临的核心挑战在于，如何弄清楚记录的行为中哪些是恶意软件的真实迹象，而哪些仅仅是由于应用运行时间的长短或所使用的工具不同而产生的副作用。如果没有将这些因素区分开来，安全系统可能会被一个运行时间较长的无害应用所欺骗，或者可能会错过一个运行时间较短的危险应用。
萨姆松大学（Samsun University）的一个研究小组在一项新研究中致力于理清这些不同的线索。他们并没有发明一种新的捕捉恶意软件的方法，也没有提出一种新型的用于捕捉恶意软件的计算机程序。相反，他们专注于测量不同信息片段对最终决策的贡献程度。他们从一个庞大的应用集合开始，仔细挑选了数千个已知的安全应用和已知的恶意应用。为了确保比较的公平性，他们让每一个应用都运行了完全相同的时间——五分钟——并为每一个应用记录了两种不同类型的数据。第一种类型是应用向手机操作系统发出的每一个请求的底层日志，即被称为“系统调用”（system call）的数据。第二种类型是关于应用实际做了什么的更高级别的摘要，例如发送一条短信或连接到特定的网站。
研究人员首先观察了应用的运行时间如何影响他们收集到的数据。他们发现，应用的运行时间与其发出的系统调用数量之间存在强关联；简单来说，应用运行的时间越长，它采取的动作就越多。这产生了一个问题，因为一个运行时间长的安全应用看起来可能与一个运行时间短的恶意应用一样活跃。为了解决这个问题，他们调整了数据，以显示每秒的动作速率而非总数。这种调整显著降低了时间对数据的影响，但并未使数据变得完美。事实上，他们发现这种调整是有利还是有害于识别恶意软件的能力，完全取决于用于分析数据的特定计算机算法。对于某些算法，原始动作计数更好；而对于另一些算法，动作速率则更好。这表明，不存在一种适用于所有工具的“最佳”数据预处理方法。
接下来，团队调查了应用执行动作的顺序。他们寻找特定的模式，例如一个动作紧随另一个动作之后，这可能是一种恶意行为的特征。他们发现，许多这类模式在恶意应用中确实比在安全应用中更为常见。然而，当他们尝试使用这些模式的简化摘要来预测恶意软件时，改进非常微小。一旦研究人员已经拥有了详细的动作列表以及应用行为的高级别摘要，这个摘要几乎没有增加任何新的价值。这表明，虽然动作的顺序包含有趣的信息，但仅凭对该顺序的简单摘要不足以显著提升检测能力。
这项研究最重大的发现来自于对比他们收集的两类不同数据：底层的系统调用和高级别的活动摘要。当研究人员将这两者结合起来时，正确识别恶意软件的能力比单独使用其中任何一种视图都要有所提高。底层数据捕捉到了高级数据遗漏的内容，而高级数据也捕捉到了底层数据遗漏的内容。他们证实了这两个视图提供了独特且非冗余的信息。通过将它们融合在一起，他们测试的最佳计算机模型能够以极高的准确度区分安全应用和恶意应用，正确识别了绝大多数情况。
研究结论指出，恶意软件检测系统的成功取决于能否仔细地将信号与噪声分离。仅仅收集数据并寄希望于计算机能自行搞定是不够的。研究人员必须考虑应用运行的时间，理解不同的工具观察世界的方式不同，并认识到结合不同类型的证据往往比依赖单一证据更为强大。这项工作证明了“行为丰富化”（behavioral enrichment）与“预测价值”（predictive value）是两个截然不同的属性；一个动作可能在恶意软件中非常常见，但如果它已经被数据中的其他部分所捕获，那么它对最终预测的贡献就会很小。通过对这些组成部分进行严格测试，研究人员为动态分析中究竟什么才是有效的做法提供了一份清晰的地图，为构建能够保护用户免受不断变化的数字景观中威胁的安全系统提供了更可靠的基础。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。