23、Android应用特征生成方法解析

Android应用特征生成方法解析

1. TSG特征

在给定的TSG中，每个API包关联着24种基于可疑性的分数，研究人员还能按需添加新分数。借助这些可疑性分数，能够为安卓应用生成TSG特征，这些特征可捕捉所有应用的包调用行为，意味着应用无需处于恶意软件或良性软件样本集中，也能拥有TSG特征。

1.1 生成TSG特征的步骤

1. 排序 ：依据API包的可疑性分数和排名结果，对其进行降序排列。理论上，API包排名越高，其可疑性越强，但可能存在因样本应用选择导致的噪声。
2. 窗口分割 ：采用大于1的整数W对排序后的包列表进行分割，形成多个桶。除最后一个桶外，每个桶包含W个具有相似可疑性分数或排名的API包。

1.2 计算TSG特征的方法

对于每个桶，可通过以下六种方法计算TSG特征：
| 方法 | 描述 |
| ---- | ---- |
| 二进制值 | 应用是否调用了该桶中的任何API包，是则为1，否则为0。 |
| API包数量 | 应用调用该桶中API包的数量，特征值为整数 ，其中函数I(fj) = 1（fj > 0），否则为0。 |
| 最大频率值 | 应用对该桶中所有API包的调用频率中的最大值，特征值为整数 。 |
| 中位数频率值 | 调用频率的中位数，特征值为整数中位数 。 |
| 频率总和 | 应用调用该桶中API包的总次数，特征值为整数 。 |
| 加权总和 | 基于频率总和，以函数ρ给出的可疑性分数作为相应权重计