9、安卓恶意软件检测与ROP攻击防御研究

安卓恶意软件检测与ROP攻击防御研究

安卓恶意软件检测

随着智能手机的广泛普及和应用开发的不断增长，保护用户免受恶意应用的侵害变得至关重要。机器学习在恶意软件检测领域得到了广泛应用，但训练数据集的选择对检测性能有着重要影响。

安卓恶意软件的多样性

安卓恶意软件具有高度的多样性，存在多种不同的谱系。这使得恶意软件检测变得复杂，因为训练数据集必须定期更新，以包含更多种类的恶意软件谱系代表。如果训练数据集不能及时更新，就可能无法检测到新出现的恶意软件谱系。

“未来知识”在恶意软件检测中的作用

之前的实验表明，使用无历史限制的全时间线应用程序对恶意软件检测器的性能有积极影响。但当训练数据集相对于测试数据集过旧时，检测性能会显著下降。研究进一步探讨了使用严格晚于测试数据集的训练数据是否能比使用历史上早于测试数据集的数据获得更好的性能。

在安卓生态系统中，开发者每周会创建数千个应用程序，其中包括新谱系的恶意软件，很多无法得到彻底检查。一段时间后，杀毒软件供应商可能会识别出新的恶意软件，此时可以使用机器学习过程来自动大规模识别已发布一段时间的应用程序中的恶意软件。然而，实验结果显示，随着测试数据集和训练数据集之间的时间差异增大，恶意软件检测器的性能会显著下降。这表明用于机器学习恶意软件检测的训练应用程序（包括恶意软件）必须在历史上与被测试的目标数据集接近。

训练数据集构建的简单方法

为了设计符合行业实践约束的恶意软件检测研究方法，进行了大量实验，提出了两种构建训练数据集的方案：
- 方案一：完全更新训练数据集 ：为了在历史上与测试目标数