[论文解读] Detection of Deviations in Mobile Applications Network Behavior

Lena Chekina, Dudu Mimran+3 more|arXiv (Cornell University)|Jul 27, 2012

Advanced Malware Detection Techniques参考文献 15被引用 11

一句话总结

本文提出了一种轻量级、设备端的机器学习系统，通过分析移动应用的网络流量模式来检测恶意行为。该系统使用设备端训练的用户特定本地模型，以及基于服务端用户数据的协同模型，识别异常行为，实现在安卓设备上性能开销极小的高精度检测。

ABSTRACT

In this paper a novel system for detecting meaningful deviations in a mobile application's network behavior is proposed. The main goal of the proposed system is to protect mobile device users and cellular infrastructure companies from malicious applications. The new system is capable of: (1) identifying malicious attacks or masquerading applications installed on a mobile device, and (2) identifying republishing of popular applications injected with a malicious code. The detection is performed based on the application's network traffic patterns only. For each application two types of models are learned. The first model, local, represents the personal traffic pattern for each user using an application and is learned on the device. The second model, collaborative, represents traffic patterns of numerous users using an application and is learned on the system server. Machine-learning methods are used for learning and detection purposes. This paper focuses on methods utilized for local (i.e., on mobile device) learning and detection of deviations from the normal application's behavior. These methods were implemented and evaluated on Android devices. The evaluation experiments demonstrate that: (1) various applications have specific network traffic patterns and certain application categories can be distinguishable by their network patterns, (2) different levels of deviations from normal behavior can be detected accurately, and (3) local learning is feasible and has a low performance overhead on mobile devices.

研究动机与目标

• 保护移动用户和蜂窝网络基础设施免受数据外泄或伪装成合法应用的恶意应用的侵害。
• 检测被注入恶意代码的流行应用的重打包版本。
• 实现实时、设备端的网络流量行为偏差检测，无需依赖静态分析。
• 评估在移动设备上进行本地学习的可行性及其性能影响。
• 证明不同的网络流量模式可区分应用类别并检测异常行为。

提出的方法

• 该系统学习两类模型：每个用户在移动设备上的本地模型，以及在服务器端聚合多个用户流量模式的协同模型。
• 本地模型通过在设备上对每个应用通信的网络流量特征进行机器学习训练而成。
• 网络流量特征包括数据包大小、频率、目标IP地址和协议类型。
• 通过统计和机器学习技术对比实时流量与学习到的正常行为，实现偏差检测。
• 系统使用异常检测算法，标记与学习基线显著偏离的流量模式。
• 评估在安卓设备上使用真实世界应用流量进行，以验证检测准确率和性能开销。

实验结果

研究问题

• RQ1 不同的网络流量模式能否可靠地区分移动应用中的正常行为与恶意行为？
• RQ2 设备端的本地学习能否以极低的计算开销检测行为偏差？
• RQ3 从聚合用户数据中获得的协同模型能否提升对罕见或零日攻击的检测准确率？
• RQ4 某些应用类别是否能通过其网络行为模式加以区分？
• RQ5 系统能否仅通过网络流量检测出带有隐藏恶意载荷的重打包应用？

主要发现

• 不同移动应用表现出独特且可识别的网络流量模式，从而可按类别进行分类。
• 该系统能准确检测正常应用行为的各种偏差。
• 在移动设备上进行本地学习是可行的，且性能开销极小，使实时检测成为可能。
• 协同模型通过识别单个用户行为中不明显的异常，提升了检测能力。
• 该方法成功通过观察异常网络通信，检测出带有隐藏恶意代码的重打包应用。
• 评估结果证实，仅通过网络行为即可有效检测恶意活动。