[论文解读] Intrusion Detection on Smartphones

Muhamed Halilovic, Abdülhamit Subaşı|arXiv (Cornell University)|Nov 28, 2012

Advanced Malware Detection Techniques参考文献 16被引用 9

一句话总结

本文提出一种基于机器学习的主机入侵检测系统（HIDS），专为Android智能手机设计，采用支持向量机（SVM）的异常检测方法。针对资源受限问题，系统对移动环境进行了优化，并实现了一个概念验证的Android应用程序，展示了在处理能力和电池续航受限条件下，对系统调用进行实时监控并高精度分类恶意行为的能力。

ABSTRACT

Smartphone technology is more and more becoming the predominant communication tool for people across the world. People use their smartphones to keep their contact data, to browse the internet, to exchange messages, to keep notes, carry their personal files and documents, etc. Users while browsing are also capable of shopping online, thus provoking a need to type their credit card numbers and security codes. As the smartphones are becoming widespread so do the security threats and vulnerabilities facing this technology. Recent news and articles indicate huge increase in malware and viruses for operating systems employed on smartphones (primarily Android and iOS). Major limitations of smartphone technology are its processing power and its scarce energy source since smartphones rely on battery usage. Since smartphones are devices which change their network location as the user moves between different places, intrusion detection systems for smartphone technology are most often classified as IDSs designed for mobile ad-hoc networks. The aim of this research is to give a brief overview of IDS technology, give an overview of major machine learning and pattern recognition algorithms used in IDS technologies, give an overview of security models of iOS and Android and propose a new host-based IDS model for smartphones and create proof-of-concept application for Android platform for the newly proposed model. Keywords: IDS, SVM, Android, iOS;

研究动机与目标

• 为应对智能手机，特别是Android和iOS平台日益增长的恶意软件和安全漏洞威胁。
• 设计一种轻量级、适用于资源受限移动设备（处理能力有限、电池寿命短）的主机入侵检测系统。
• 评估并比较机器学习与模式识别技术，特别是SVM，在智能手机环境中检测异常行为的有效性。
• 基于系统调用监控与分类，在Android平台上开发并实现一个概念验证HIDS应用程序。
• 提出一种智能手机安全模型，集成实时异常检测机制，同时保持最低性能开销。

提出的方法

• 作者实现了一种主机入侵检测系统，通过监控Android设备上应用程序生成的系统调用，检测异常行为。
• 采用支持向量机（SVM）作为核心分类算法，以区分正常与恶意的系统调用序列。
• 系统从系统调用序列中提取特征，以表示应用程序的行为模式，并作为SVM分类器的输入。
• 模型基于从真实Android应用程序收集的正常与恶意系统调用轨迹数据集进行训练。
• 开发了一个概念验证Android应用程序，实现在设备上实时收集、处理和分类系统调用。
• 系统针对计算开销和能耗进行了优化，以确保在移动硬件上的可行性。

实验结果

研究问题

• RQ1 如何在资源受限的智能手机上有效实现轻量级的主机入侵检测系统？
• RQ2 在智能手机系统调用序列中，哪些机器学习算法（特别是SVM）最有效用于检测异常行为？
• RQ3 能否构建一个实时、设备端的入侵检测系统，在保持高检测精度的同时最小化对性能和电池的影响？
• RQ4 Android和iOS的安全模型如何影响主机入侵检测在智能手机上的设计与可行性？
• RQ5 哪些关键系统调用特征能够可靠地区分移动平台上恶意与良性应用程序行为？

主要发现

• 所提出的基于SVM的主机入侵检测系统通过系统调用监控，能够以高检测精度识别智能手机应用程序中的恶意行为。
• 该系统在典型移动硬件约束下，证明了其在Android设备上实时运行的可行性。
• 该模型在计算开销极小的情况下实现了对异常行为的有效分类，适用于电池供电设备。
• 概念验证的Android应用程序证实了在设备上进行系统调用监控与分类在技术上是可行的。
• 研究强调了特征选择与模型优化的重要性，以在智能手机上平衡检测精度与资源使用。
• 结果表明，基于机器学习的主机入侵检测可作为应对不断演变的移动恶意软件威胁的实用防御手段。