计算机工程

作者：何高峰, 司勇瑞, 徐丙凤

单位：1. 南京邮电大学 物联网学院, 南京 210003;2. 东南大学 计算机网络和信息集成教育部重点实验室, 南京 211189;3. 南京林业大学 信息科学技术学院, 南京 210037

关键词：移动应用,加密流量,数据标注,异常检测,恶意代码分析

基金：国家自然科学基金青年基金项目"面向网络加密流量的恶意移动应用检测研究"（61702282）；国家自然科学基金青年基金项目"集成防危性与安全性建模的信息物理融合系统风险分析"（61802192）；江苏省高等学校自然科学研究面上项目"面向移动应用加密流量的恶意攻击检测研究"（17KJB520023）；江苏省高等学校自然科学研究面上项目"集成防危性与安全性的信息物理融合系统风险建模及分析"（18KJB520024）。

为区分恶意Android移动应用在运行过程中产生的恶意流量和正常流量，提出一种Android移动应用恶意流量标注方法。针对加密类型的网络流量，根据端口号和流载荷内容的字节熵值进行加密检测，依据服务器证书等内容判断加密流量是否异常，同时对恶意Android移动应用进行反编译，并利用程序控制流程图分析该加密流量是否涉及敏感操作，从而标注出恶意加密流量。对300个重打包类型的恶意移动应用进行测试，实验结果与同基准值对比分析表明，与未采用该方法的标注结果（1 602条恶意加密流量）相比，该方法检测出的恶意加密流量有341条，且标注结果中仅有28条为误报流量。

来源：2020年第7期

《计算机工程》期刊编辑部

查看计算机工程杂志2020年第7期