基于用户行为周期的移动设备异常检测方法.pdfVIP

计 算 机 系 统 应 用 http：／w／ww．c-S—a．org．cn 2015年 第24卷 第 4期 基于用户行为周期的移动设备异常检测方法① 吴志忠 ，周学海 (中电海康集团有限公司 中国电科(杭州)物联网研究院，杭州 3ioo12) (中国科学技术大学 计算机科学与技术学院，合肥 230027) 摘 要：本文提出了一种分布式的移动设备异常检测系统，该系统采用客户端．服务器架构，客户端程序在移动 设备上持续提取特征并传送给服务器，服务器使用异常检测算法分析特征．根据人类 日常活动的规律性 以及用 户使用移动设备的周期性，我们还提出了一种基于用户行为周期的异常检测方法，通过 比较待检测特征向量和 以往周期相近时间段的特征向量集的距离即可判定该特征向量是否异常，向量比较时采用不受特征间关联以及 特征取值范围影响的马氏距离作为距离衡量的标准．实验证明我们采用的移动设备异常检测系统框架和检测方 法能够有效提高对移动设备恶意程序的检测率． 关键词：异常检测；行为周期；马氏距离；特征提取 UserBehaviorCycle-BasedStatisticalApproachforAnomalyDetectingonMobileDevices wu Zhi．Zhong，ZHOU Xue．Hai2 (InstituteforInteractofThings，ChinaElectronicTechnologyGroupCorporation，Hangzhou310012，Chnia) (DepartmentofComputerScience，UniversityofScienceandTechnologyofChnia,Hefei230027，Chnia) Abstract：Inthispape~wepresentadistributedanomalydetectionsystem formobiledevices．Theproposedframework realizesaclient-serverarchitecture，theclientcontinuouslyextractsvariousfeaturesofmobiledeviceandrtansferstothe server,nadhteserver’Smajortaskistodetectanomalyusnigstate—of-artdetectionalgorithms．Accordnigtothe regularityofhumna dailyactivitynadhteperiodicofusnigmobiledevice，wealsoproposeanoveluserbehaviorcycle basedstatisticalapproach，inwhichtheabnormalisdetemr niedbyhtedistancefrom theundetemr niedfeaturevectorto htesimilartimesegments’vectorsofpreviouscycles．WeusehteMahalanobisdisatnceasdistancemetricsniceitis rarelyaffectedbyhtecorrelateandvaluerangeoffeatures．Evaluationresultsdemonstratedhtathteproposedframework andnovelnaomalydetectionalgorithm couldeffectivelyimprovehtedetectionrateofmalwaresonmobiledevices． Keywords：naomalydetection；behaviorcycle；mahalanObisdistance；featureexrtaction 1 引言 能够在第一时间发现恶意软件的攻击，有效的避免和 随着无线通信技术、网络技术以及嵌入式技术的 减少对移动设备以及用户的危害，国内外许多研究都 不断发展，移动设备的计算和网络功能不断增强，成 将入侵检测技术引入到移动设备的安全防护领域．入 为结合了电信网以及因特网的统一通信设备，并逐渐 侵检测系统有两种类型，一是特征检测，类似杀毒软 成为个人的信息中心．随着移动设备用户数