تحسين اكتشاف البرمجيات الخبيثة لأندرويد من خلال تقنيات الذكاء الجماعي والترميز التلقائي المطبقة في تحليل استدعاءات واجهة برمجة التطبيقات

Summary

يقترح إطار عمل هجين لكشف البرمجيات الخبيثة لأندرويد، يستفيد من تمثيلات الميزات المكتسبة والمصنفات التقليدية لتعزيز دقة الكشف، وتقليل هندسة الميزات اليدوية، ومواجهة تهديدات البرمجيات الخبيثة المتطورة بفعالية.

Abstract

تتضمن استخبارات أمن البرمجيات الخبيثة تحليل التطبيقات وبياناتها الوصفية لتحديد التهديدات الأمنية المحتملة. تعد استدعاءات واجهة برمجة التطبيقات (API) مصدرا قيما للمعلومات لاكتشاف البرمجيات الخبيثة. تقليل مساحة الميزات في تحليل البرمجيات الخبيثة يعزز كفاءة تحديد التهديدات. تسعى هذه الأبحاث إلى تحديد أهم ميزات استدعاء واجهة برمجة التطبيقات لتعزيز دقة اكتشاف البرمجيات الخبيثة في أندرويد. تستخدم ثلاث تقنيات تحسين تعتمد على ذكاء السرب - تحسين اليراعة، تحسين البحث بالوقواق، وتحسين مستعمرة النمل - جنبا إلى جنب مع الترميز التلقائي لاستخراج أهم الميزات. لتقييم هذه الطرق المستندة إلى التغليفات المستوحاة من الطبيعة، تستخدم مصنفات تعلم الآلة الشائعة، بما في ذلك K-أقرب جار (KNN)، الغابة العشوائية (RF)، آلة الدعم المتجه (SVM)، شجرة القرار (DT)، والانحدار الخطي (LR). علاوة على ذلك، أظهر أن المصنف العصبي الصناعي الهجين يحسن أداء تصنيف البرمجيات الخبيثة. تظهر نتائج التجارب فعالية الطريقة المقترحة دقة تبلغ 98.87٪ باستخدام 7 من أصل 100 ميزة استدعاء API فقط.

Introduction

أشهر نظام تشغيل للهواتف المحمولة هو أندرويد، الذي يعتمد على لينكس ويمتلك^حصة سوقية عالمية تبلغ 72.55٪. على عكس أنظمة التشغيل الأخرى التي تخضع لقوانين صارمة وحقوق نشر، فإن أندرويد هو منصة مفتوحة المصدر ترحب بمساهمات المطورين حول العالم. ولكن بسبب قاعدة المستخدمين الكبيرة، تستهدفه هجمات الفيروسات بشكل متكرر. البرمجيات الخبيثة هي مصطلح للبرمجيات الخبيثة التي تهدف إلى اختراق تشغيل أنظمة الحاسوب أو استغلال المعلومات الخاصة. أكثر الطرق شيوعا لاختراق البرمجيات الخبيثة في نظام أندرويد البيئي هي من خلال تحميل التطبيقات. بينما تكون التطبيقات التي تم الحصول عليها من مصادر موثوقة آمنة عموما، إلا أن التطبيقات التي تم تنزيلها من منصات غير موثقة أو خبيثة قد تحتوي على برامج ضارة. غالبا ما يستغل مجرمو الإنترنت الثغرات الأمنية في الأجهزة، حيث ينشرون برمجيات خبيثة لتعريض سلامتها^{للخطر 2}.

مع استمرار نمو عدد المستخدمين، يزداد حجم البيانات القيمة التي يسهل على المهاجمين السيبرانيين الوصول إليها أيضا. قد يستغل المهاجم ذلك من خلال توزيع تطبيق خبيث على أسواق التطبيقات الرسمية للهواتف المحمولة. بمجرد أن يقوم المستخدم غير المرتب بتثبيت التطبيق، يمنح المهاجم عن غير قصد الوصول إلى جهازه. نظرا لتزايد انتشار مثل هذه التهديدات، فإن تقنيات اكتشاف البرمجيات الخبيثة المتقدمة ضرورية لمواجهة العدد الهائل من التطبيقات الخبيثة ^3,4,5. تم تطوير عدة تقنيات قائمة للتنبؤ ببرمجيات أندرويد^{الخبيثة 6,7}. ومع ذلك، تعتمد هذه الأساليب بشكل أساسي على الكشف القائم على التوقيع، والذي يتضمن تحديد الآثار الرقمية المدمجة داخل كود التطبيق. يتم استخراج هذه التواقيع من مجموعة حزمة أندرويد (APK) للبرنامج، ويتم مطابقتها مع قاعدة بيانات لأنماط العدائية المعروفة. على الرغم من نجاح هذا النهج في اكتشاف البرمجيات الخبيثة التي تم الإبلاغ عنها بالفعل، إلا أنه غير قادر على التعرف على التهديدات الجديدة التي لم تضاف بعد إلى قاعدة البيانات. ⁸

مع استمرار تطور البرمجيات الخبيثة وانتشار البرمجيات الخبيثة، من الضروري تطوير حل قادر على اكتشاف أنواع^{البرمجيات} الخبيثة بدقة مع تحسين الوقت والموارد الحاسوبية. لتحسين اكتشاف البرمجيات الخبيثة على هواتف أندرويد، تم إنجاز الكثير من العمل. تتطابق تقنيات الكشف التقليدية القائمة على التوقيع مع توقيع ملف APK مع توقيعات خبيثة تم تحديدها وتخزينها في قاعدة البيانات. لكن هذه الطريقة لا تعمل مع البرمجيات الخبيثة التي لم يتم اكتشافها بعد، مما يؤكد الحاجة إلى أنظمة كشف أكثر تطورا 10,11,12.

الفرضية التي تهدف هذه المقالة إلى اختبارها هي: تحديد استدعاءات API المشبوهة لتحسين دقة تصنيف تطبيقات أندرويد الحميدة والخبيثة. تطوير وتنفيذ نموذج تصنيف هجين يدمج الترميز التلقائي مع الشبكات العصبية الاصطناعية. صياغة دالة هدف لتحسين ذكاء السرب، والتي تعزز عملية التعلم من خلال إدخال عقوبات لتسهيل اكتشاف حلول قريبة من الأمثل. فحص عدة مقاييس أداء واختيار الطريقة المثلى لتوقع البرمجيات الخبيثة لأندرويد.

أعمال ذات صلة

وقد أدى الاستخدام الواسع لمنصة أندرويد، إلى زيادة ملحوظة في تنوع وحجم البرمجيات الخبيثة، مما دفع الباحثين إلى ابتكار تقنيات فعالة للكشف والوقاية 13,14,15. من خلال البحث الإحصائي، تناول ديكارد ورسول زادغان¹⁶ مشكلة مجموعات البيانات غير المتوازنة في اكتشاف البرمجيات الخبيثة في أندرويد. لمعالجة البيانات مسبقا وموازنتها، استخدموا تقنية أخذ العينات الزائدة للأقليات الاصطناعية (SMOTE)، ونقص العينة، وتقنيات التصنيف. باستخدام مصنفات KNN وSVM ومصنفات الثنائية التكرارية 3 (ID3)، حقق نموذج الكشف دقة أعلى بلغت 98.69٪ عند اقتران نهج SMOTE مع مصنف KNN^{رقم 16}.

تم دراسة استخدام تردد التردد العكسي للوثائق (TF-IDF) لتحديد البرمجيات الخبيثة على أندرويد من قبل بريا وفيسالاكشي¹⁷ في دراسة مختلفة. أنشأوا مصححا للصلاحيات لتقييم وتقييم الأذونات، والتي تم تصنيفها لاحقا باستخدام شبكات عصبية اصطناعية. تفوقت هذا الأسلوب على الأنظمة القائمة بدقة بلغت 94.22٪. بالإضافة إلى ذلك، لتحسين أداء تصنيف البرمجيات الخبيثة في أندرويد، استنادا إلى الانحدار الخطي، تم ابتكار طريقة لاختيار الميزات بواسطة يلديز ^{وآخرون.} قللت طريقتهم من وقت التدريب وحققت زيادة بنسبة 96.1٪ في الدقة. لزيادة الدقة والكفاءة في اكتشاف البرمجيات الخبيثة على أندرويد، تبرز هذه الأبحاث مجتمعة أهمية معالجة قضايا مثل اختيار الميزات ومجموعات البيانات غير المتوازنة.

تم استخدام اختيار الميزات التكرارية (RFS) ومصنف المجموعات في نموذج قدمه آل ساراح ^{وآخرون لتحسين} اكتشاف البرمجيات الخبيثة في أندرويد. في هذه الطريقة، تستخدم خوارزمية LightGBM لتصنيف أكثر الميزات أهمية التي حددها RFS. أظهرت نتائج التجربة أن النموذج كان فعالا، بدقة تصنيف تبلغ 99.5٪. بالنسبة لتصنيف البرمجيات الخبيثة لأندرويد، اقترح دينغ ^{وآخرون أيضا} بنية تعلم عميق تستخدم شبكة عصبية الالتفافية (CNN). خلال هذه العملية، يتم استخراج ملفات البايتكود من ملفات APK لأندرويد وتحويلها إلى مصفوفات رموز بايت ثنائية الأبعاد. تستخدم هذه المصفوفات لتدريب نموذج CNN، الذي حقق في التجارب معدل دقة 95.1٪. تسلط هذه الأبحاث الضوء على كيفية دمج نماذج التعلم العميق وتقنيات اختيار الميزات مع مصنفات المجموعات لزيادة دقة أنظمة كشف البرمجيات الخبيثة في أندرويد.

من خلال استخدام تقنيات التعلم العميق، تغلب إليان ومصطفى²¹ على أوجه القصور في طرق اكتشاف البرمجيات الخبيثة التقليدية في أنظمة أندرويد المحدثة. تفوقت على التقنيات التقليدية باستخدام وحدة التكرار المحبوبة (GRU) للتمييز بين التطبيقات الخبيثة والحميدة، محققين دقة بلغت 98.2٪. كما تم دمج عملية التسلسل الهرمي التحليلي (AHP) في تقنية ضبابية قائمة على المخاطر لاكتشاف الفيروسات المتنقلة اقترحها عارف وآخرون^. بالإضافة إلى تحديد البرمجيات الخبيثة، يقوم نظامهم بتقييم مستويات المخاطر ويقسمها إلى أربع مجموعات: منخفضة جدا، منخفضة، متوسطة، وعالية. مع هذه التقنية الدقيقة، بلغت الدقة الإجمالية 90.54٪. تظهر هذه الدراسات فعالية طرق التعلم الآلي المتقدمة، مثل أطر AHP الضبابية ونماذج التعلم العميق المعتمدة على GRU، في تحسين دقة ومرونة أنظمة كشف البرمجيات الخبيثة في أندرويد.

ولتجاوز عيوب الأساليب القائمة على التوقيع، استخدم ميركالدو وسانتون²³ تقنيات معالجة الإشارات الصوتية لاستخراج المعلومات الرقمية من الملفات التنفيذية للتطبيقات عن طريق تحويلها إلى ملفات صوتية. طريقتهم، التي استخدمت مصنفا للشبكة العصبية، حققت دقة كشف بلغت 95.2٪. لتجاوز الصعوبات المرتبطة بهندسة الميزات المرهقة، قدم تشانغ وآخرون ²⁴ إطار عمل TC-Droid، وهو إطار عمل تلقائي يستخدم تقنيات تصنيف النصوص. وبمعدل دقة 96.6٪، تحلل هذه الطريقة تسلسلات النصوص من تقارير تحليل التطبيقات باستخدام الشبكات العصبية الالتفافية.

بدقة بلغت 93.4٪^{، قدم} إمتياز وآخرون تقنية DeepAMD، وهي تقنية تعتمد على الشبكات العصبية الاصطناعية تهدف إلى التصنيف الفعال والكشف المبكر عن البرمجيات الخبيثة لأندرويد. ^قام فردوس وآخرون بابتكار تقنية اختيار ميزات تعتمد على البحث الجيني للتحليل الثابت في كشف البرمجيات الخبيثة لأندرويد. مع معدل دقة 95٪، تفوقت الأشجار الوظيفية على مصنفات تعلم الآلة الأخرى في الاختبارات. تم تقديم طريقة اختيار الميزات تسمى Delta_IDF من قبل بينيرشي وآخرون ²⁷. يحسب قيم تردد المستندات العكسية بناء على ظهور السلاسل في ملفات APK. مقارنة بالخوارزميات الأخرى، أنتجت تجاربهم نتائج مشجعة.

^{اقترح شي} وآخرون إطارا هجينا بين CNN-DNN أظهر دقة اكتشاف قوية من خلال دمج قوة الطبقات الالفافية والكثيفة لاستخراج وتصنيف الخصائص. وبالمثل^{، قدم شو} وآخرون استطلاعا شاملا حول طرق كشف البرمجيات الخبيثة التي تعتمد على CNN، مع تسليط الضوء على نقاط قوتها في التقاط التبعيات المكانية ضمن تسلسلات API وopcode. في سياق إنترنت الأشياء (IoT^{)، طور} نعيم وآخرون مجموعة مكدسة من الشبكات المعقدة العميقة لتصنيف البرمجيات الخبيثة، مما حسن المتانة عبر بيئات تهديد إنترنت الأشياء المتنوعة. مؤخرا، قدمت شو ودونغ³¹ نهج LG-PN، وهو نهج دمج محلي وعالمي في الشبكات النموذجية، لتعزيز اكتشاف البرمجيات الخبيثة التي لم تر من قبل في أندرويد. على الرغم من أن هذه الطرق حققت نجاحا ملحوظا، إلا أنها تعتمد بشكل كبير على هياكل الالتفافية عميقة وتتطلب موارد حسابية كبيرة. على النقيض من ذلك، يدمج العمل الحالي ذكاء السرب مع اختيار الميزات المعتمد على الترميز الذاتي لتقليل الأبعاد وتحسين الكفاءة، مما يوفر بديلا مكملا وخفيف الوزن للحلول العميقة المعتمدة على CNN.

ركزت عدة دراسات سابقة أيضا بشكل خاص على اكتشاف البرمجيات الخبيثة التي تعتمد على مكالمات API عبر API، حيث تعد تسلسلات API مؤشرات سلوكية قوية على النشاط الخبيث. على سبيل المثال^{، اقترح} Karbab وآخرون استخدام التعلم العميق على تسلسلات استدعاءات طرق API لتحديد التطبيقات الخبيثة، مما يثبت أن الأنماط الزمنية في استخدام API يمكن أن تميز بشكل فعال بين البرمجيات الخبيثة والتطبيقات الحميدة. وبالمثل، قام مظفر وآخرون ³³ بتقييم نماذج تعلم الآلة المختلفة على ميزات استدعاء واجهة برمجة التطبيقات وسلط الضوء على أهمية اختيار الميزات وتمثيلها في تحسين أداء الكشف. على الرغم من أن هذه الأعمال تبرز فائدة ميزات مستوى API، إلا أن معظمها يعتمد إما على نماذج تسلسلية عميقة أو هندسة ميزات يدوية، والتي قد تكون مكلفة حسابيا أو أقل قابلية للتعميم. على النقيض من ذلك، تستفيد هذه الدراسة من خوارزميات الذكاء الجماعي مع المشفرات الذاتية لتقليل أبعاد ميزات واجهة برمجة التطبيقات تلقائيا، ثم تستخدم مصنفا هجينا للعصبون الاصطناعية لتعزيز أداء الكشف. هذا يضع نهجنا كبديل خفيف الوزن لكنه فعال يعالج بشكل مباشر تحديات بيانات استدعاء واجهات برمجة التطبيقات عالية الأبعاد.

من خلال دمج الشبكات العصبية الاصطناعية (ANNs)، تسعى المنهجية المقترحة في هذه الدراسة إلى تحسين اكتشاف وتصنيف البرمجيات الخبيثة لأندرويد. أولا، تستخدم الترميزات التلقائية في تقنيات اختيار الميزات القائمة على التغليف لاكتشاف أهم الخصائص التي تميز التطبيقات الخطرة عن التطبيقات البريئة. لزيادة فعالية تصنيف البرمجيات الخبيثة لأندرويد، يتم تقييم تصنيف عصبي صناعي فريد يجمع بين الشبكات العصبية الاصطناعية (ANNs) ومصنفات الاستحثاء.

Protocol

تستخدم طريقة اختيار الميزات القائمة على الغلاف باستخدام الترميز التلقائي في البنية المقترحة لاكتشاف البرمجيات الخبيثة في أندرويد، كما هو موضح في الشكل 1. تنقسم مجموعة البيانات إلى مجموعات تدريب واختبار بنسبة 70:30. التصنيف واختيار الميزات هما الخطوتان الرئيسيتان في عملية تحليل البرمجيات الخبيثة.

اختيار الميزات (FS): هذه الخطوة هي البحث التكراري عن أفضل مجموعات الميزات الفرعية (انظر التعريف 1) باستخدام خوارزميات تعتمد على ذكاء السرب، لا سيما تحسين البحث في Cuckoo (CSO)، وتحسين أسد النمل (ALO)، وتحسين اليراعات (FO). بعد ذلك، تقوم أجهزة الترميز التلقائي بمعالجة الميزات المختارة لإنتاج تمثيل مضغوط للبيانات الواردة. ثم يستخدم نهج الحث مخرجات الترميز التلقائي لتقييم مدى جودة التمييز بين التطبيقات الخطرة والحميدة. لتمكين تصنيف الحالات اللاحقة بدقة، تقوم خوارزمية الاستقراء ببناء مصنف عن طريق تحويل فضاء الميزات إلى مجموعة من تسميات الفئات.

التصنيف: باستخدام المصنف العصبي الاصطناعي المقترح وطرق التحريض المعروفة، يتم تقييم مجموعة الميزات المخفضة من مرحلة اختيار الميزات في هذه المرحلة لمعرفة مدى فعالية اكتشاف البرمجيات الخبيثة لأندرويد.

من خلال استخدام أساليب تصنيف متقدمة والتركيز على أكثر الميزات إفادة، تسعى هذه المنهجية لتحسين دقة وكفاءة اكتشاف البرمجيات الخبيثة لأندرويد.

اختيار الميزات

خطوة حاسمة في تعلم الآلة هي اختيار الميزات، والتي تتضمن تحديد الميزات الأكثر موثوقية وصلة وغير مكررة لبناء النماذج. يصبح تقليل مجموعات الميزات بطريقة منهجية أكثر أهمية مع استمرار نمو مجموعات البيانات في الحجم والتعقيد. الهدف الرئيسي لاختيار الميزات هو تعظيم أداء النموذج مع تقليل النفقات الحاسوبية. تزال الميزات المتكررة وغير الضرورية، مما يسمح للعملية بالتركيز على المتغيرات الأكثر أهمية للنموذج. بدلا من الاعتماد على خوارزمية التعلم الآلي لتحديد الميزات المهمة، فيما يلي فوائد اختيار الميزات قبل تدريب النماذج:

نماذج مبسطة: تقليل عدد متغيرات الإدخال يؤدي إلى نماذج أكثر وضوحا وأسهل في التفسير والفهم.

تقليل التباين: من خلال التركيز على الميزات الأساسية، يساعد اختيار الميزات في تقليل تباين النموذج، مما يقلل من الإفراط في التوافق ويعزز التعميم على البيانات الجديدة.

تقليل وقت التدريب: مجموعة الميزات الأصغر تقلل من العبء الحسابي، مما يؤدي إلى تدريب وتقييم نماذج أسرع.

تخفيف لعنة الأبعاد: يمكن أن تشكل البيانات عالية الأبعاد تحديات مثل زيادة التعقيد وفرط التركيب؛ يعالج اختيار الميزات هذه القضايا من خلال تحديد مساحة الميزات على المتغيرات الأكثر إفادة.

التعريف الأول لاختيار الميزة

فكر في محفز I ومجموعة بيانات D لها توزيع D على فضاء مثيل معنون وتحتوي على ميزات (x_{1,x 2,x 3},... ,_{x n}). المجموعة الفرعية من الميزات التي تحسن دقة المصنف C=I(D) تعرف باسم مجموعة الميزات المثلى X_{اختياري}.

في اختيار الميزات غير المراقب، تهدف الأساليب القائمة على التغليف إلى تحديد التركيبة المثلى من الميزات التي تعزز أداء النموذج. من خلال إضافة أو إزالة الميزات بشكل منهجي، غالبا عبر خوارزميات جشعة، تقوم هذه الطرق بتقييم نماذج مختلفة لاختيار الميزات الأكثر تأثيرا لتطوير النماذج. يتم تصوير هذه العملية في الشكل 2.

لاختيار الميزات، تستخدم خوارزميات الذكاء الجماعي مثل تحسين فايرفلاي (FO)، تحسين البحث في كوكو (CSO)، وتحسين أسد النمل (ALO) لتتفوق على الأساليب الجشعة التقليدية. الدالة الموضوعية المختارة في مرحلة تقييم اللياقة لها تأثير كبير على فعالية هذه الخوارزميات. يتم أخذ كل من كمية الميزات المختارة وخطأ النموذج في نهاية كل تكرار في الاعتبار في إجراء اختيار الميزات المعتمد على الغلاف التكراري لتقييم مدى ملاءمة الميزات المختارة. المعادلة (1) تجسد هذا التقييم بشكل رسمي.

(1)

تمثل عقوبة خوارزمية التعلم على الأخطاء التي تحدث أثناء تقييم اللياقة ب τ في هذه المعادلة، حيث τ ∈ [0,1]. يرمز إلى طول المجموعة الفرعية المختارة بالمتغير l، ويمثل العدد الإجمالي للميزات بالمتغير u.

المشفرات التلقائية

الشبكات العصبية المتخصصة في تعلم التمثيلات المضغوطة لبيانات الإدخال تسمى الترميز الذاتي. المشفر والمفكك هما الجزآن الرئيسيان منهما. بينما يحاول مفك الترميز استعادة الإدخال الأصلي من هذا الشكل المضغوط، يعالج المشفر بيانات الإدخال ويضغطها إلى تمثيل فضائي كامن. يصبح تدريب نموذج التعلم الآلي أسهل بفضل قدرة المشفر على استخراج ميزات قيمة من البيانات غير المعالجة بعد تدريبه.

تتميز بنية المشفر الذاتي المقترحة (كما هو موضح في الشكل 3) بمشفر مكون من طبقة إدخال تحتوي على N عقد، تليها طبقتان مخفيتان تحتويان على N*2 وN عقدة على التوالي. هناك طبقة مخفية ثانية بها N/2 عقدة تسمى الفضاء الكامن. مع طبقتين مخفيتين من العقد [N, N*2]، يقوم جهاز فك الترميز بتكرار هذه البنية، وينتهي بطبقة إخراج من N عقد.

يتبع كل طبقة مخفية تطبيع دفعي لتسريع واستقرار عملية التدريب، وتستخدم جميع الطبقات وظيفة تفعيل LeakyReLU للتعامل مع أي مشاكل محتملة في تدرج التدرج المفقود. المعادلة (2) توفر تعريفا رياضيا لدالة تفعيل LeakyReLU:

 (2)

حيث يتم الحصول على h_θ(x) باستخدام المعادلة (3)

(3)

هنا، x_i=(x_{1,x 2},...,x_n) يمثل القيم المدخلة للعقد، بينما w_i=(w_{1,w 2},...,w_n) يمثل الأوزان المرتبطة بهذه العقد. خلال عملية التعلم، يتم تعديل الأوزان بعد تخصيصها عشوائيا في البداية ضمن النطاق [0,1]. لمنع مرور المعلمات عبر الأصل، يضاف مصطلح انحياز في كل طبقة. المعادلة (4) تحدد العتبة، وإذا تجاوز الناتج الناتج من المعادلة (3) العتبة، يتم تفعيل عقدة.

 (4)

تحسين اختيار الميزات القائم على غلاف الأسد النمل (ALWFSO)

لنمذجة سلوك النمل المفترس الطبيعي، تم تقديم محسن الأسد النمل (ALO) لأول مرة بواسطة سيد علي ميرجليلي³⁴. تحدد خوارزمية التحسين هذه الحلول المثلى بكفاءة بغض النظر عن قيم المعلمات الأولية. يظهر ALO تقارب سريع ويدير بفعالية القيود الصحيحة والمنفصلة. عملية الصيد في ALO هي الخطوات التي تشكل عملية الصيد في ALO.

في سياق خوارزمية محسن الأسد النمل (ALO)، يمثل النمل حلولا مرشحة تجري عمليات بحث عشوائية في فضاء الحلول، بينما تتوافق النمل مع الفخاخ أو الأدلة التي تؤثر على حركات النمل بناء على قيم اللياقة. هذا العدد المزدوج يمثل السلوك المفترس الطبيعي للنمل عند اصطياد النمل. في البداية، يتم تهيئة مجموعات النمل والنمل بشكل عشوائي. يتم اختيار الأنتليون لكل نملة باستخدام آلية اختيار عجلة الروليت، تليها عملية مشي عشوائية (كما هو موضح في خوارزمية-1). ثم تصف المعادلة (5) كيف يتم تطبيع هذا المشي بشكل طبيعي.

 (5)

في البداية، تتكون مجموعات النمل والنمل بشكل عشوائي. يتم اختيار النمل لكل نملة باستخدام آلية عجلة الروليت، مما يسمح بالمشي العشوائي الذي يتم تطبيعه باستخدام صيغ محددة مسبقا. تضمن هذه العملية أن تتأثر حركات النمل بمواقع النمل، مما يحاكي بشكل فعال عملية الصيد الطبيعية. يتم تحديث موقع كل نملة بناء على هذا التفاعل، مما يوجه البحث نحو حلول مثالية.

بفضل بنيتها، يمكن لخوارزمية ALO أن تعبر مساحات البحث المعقدة بفعالية، مما يجعلها أداة قوية لحل مجموعة متنوعة من مشاكل التحسين. يتم تقييم ملاءمة كل نملة في نهاية كل تكرار. كما هو موضح في خوارزمية-1، يتم استبدال النمل بنملة إذا كانت النملة أكثر ملاءمة من نظيرتها. في هذه الحالة ، يشير إلى^{موقع النمل} i في التكرار t؛ I هو نسبة؛ يشير إلى موقع النمل^{الأسد j في} التكرار T؛ هي النخبة للمشي العشوائي عند التكرار t، والتي تختارها عجلة الروليت؛ وهي المشي العشوائي للنمل الأسد عند التكرار t، والذي يحدده أيضا دولاب الروليت. بعد انتهاء كل دورة، يعاد الحل الأمثل عالميا، الذي يؤكده مصنف التغليف المتكامل.

الخوارزمية 1: ALWFSO
عرف دالة الهدف: f(x):x=(x_{1,x 2},...,_{x d})
تهيئة مستعمرة النمل والنمل الأسود بشكل عشوائي
حساب لياقة النمل والنمل الأسد
اختر أفضل النمل الأسود وافترض أنهم نخبويون.
كرر حتى يتم تحقيق شرط الإنهاء أو f(x):x=(x_{1,x 2},...,_{x d})
لكل اختيار لنمل-نمل: استخدم آلية اختيار عجلة الروليت لاختيار نملة أسد بشكل احتمالي تؤثر على حركة النملة
X(t) = [0,cum_sum(2r(t₁) - 1),cum_sum(2r(t₂) - 1),...,cum_sum(2r(t_n)-1)]


نهاية حلقة النمل
تقييم اللياقة: أعد حساب قيم اللياقة لجميع النمل بناء على مواقعهم الجديدة.
استبدل النمل بالنمل إذا أظهر النمل لياقة فائقة
إذا أصبح النمل الأسد أكثر لياقة، فإن

النهاية أثناء

تحسين اختيار الميزات القائم على غلاف البحث في Cuckoo (CSWFSO)

استلهمت شين-شي يانغ وسوزا ديب³⁵ من سلوك الطفيليات في الحضنة لبعض أنواع الوقواق، التي تضع بيضها في أعشاش طيور مضيفة أخرى، فأنشأت خوارزمية البحث عن الوقواق في عام 2009. في هذا الإجراء، يضع كل كوكو بيضة في عش يتم اختياره عشوائيا. الأجيال القادمة سترث أعشاشا بأفضل البيض. احتمال أن يرى طائر مضيف بيضة فضائية هو 0، وهناك عدد محدود فقط من أعشاش المضيف المتاحة.

الخوارزمية 2: CSWFSO

عرف دالة الهدف: f(x):x = (x_{1,x 2},...,_{x d})
تولد عشوائيا مجموعة أولية من n أعشاش مضيفة، كل منها يتوافق مع حل مرشح x_i (i=1,2,3,...,n)
كرر ذلك حتى يتم استيفاء شرط التوقف أو (tبالنسبة لكوكو مختارة عشوائيا، أنتج حلا مرشحا جديدا باستخدام طيران ليفي

احسب ملاءمة الحل الجديد المولد F_i [للتعظيم، F_i α f(x_i)]
اختر عشوائيا عش مضيف j من بين السكان n
إذا (F_i >F_j) فإن j يستبدل بحل جديد
النهاية إذا
تخلي عن جزء من أسوأ الشبكات بنسبة (p_a)
يتم بناء أعشاش جديدة في جزء مهجور (p_a) باستخدام
ضع جانبا أفضل الحلول أو الأعشاش.
من خلال ترتيبها، اختر أفضل عش أو حل متاح الآن.
الجيل التالي يرث أفضل حل متاح الآن.
النهاية أثناء

في البداية، يتم تهيئة جميع الأعشاش بشكل عشوائي. مع تقدم التكرارات، يغير كل كوكو موقعه داخل فضاء الحلول عبر رحلات ليفي، كما هو موضح في الخوارزمية 2. يتم تعديل حجم الخطوة بواسطة ∝، وتقوم عملية السيجمويد بتحويل القيم المستمرة التي يولدها تحسين البحث في كوكو (CSO) إلى صيغة ثنائية، كما هو موضح في المعادلتين (6) و(7).

(6)

(7)

كما هو موضح في الخوارزمية 2، حيث و هما أعشاش مختارة عشوائيا و δ ∈ [0,1]، في نهاية كل تكرار، يتم التخلي عن بعض الأعشاش وتحديثها بحلول مرشحة جديدة.

استلهمت خوارزمية تحسين البحث عن الوقواق (CSO) من طفيليات طائر الوقواق، وأثبتت أنها أداة مفيدة لمهام اختيار الميزات³⁵. تبدأ التقنية بتهيئة مجموعة من الأعشاش، كل منها يمثل حلا ممكنا في سياق اختيار ميزات CSO المعتمدة على الغلاف. تستخدم دالة هدف محددة مسبقا لتقييم لياقة هذه الأعشاش. باستخدام تقييمات الملاءمة، تحدد الخوارزمية الحل الأمثل — المعروف بأفضل حل عالمي — في كل تكرار. ولاستكشاف فضاء الحل بشكل أفضل، يتم إسقاط جزء من العش، ممثلا بالبازلاء، واستبداله بأجزاء جديدة وفقا لبروتوكول CSO. يؤكد مصنف التغليف المدمج أن الخوارزمية تعطي الإجابة المثلى عالميا بعد الانتهاء من جميع التكرارات.

تحسين اختيار الميزات المعتمد على غلاف فايرفلاي (FWFSO)

الخوارزمية 3: FWFSO
عرف دالة الهدف: f(x):x = (x_{1,x 2},...,_{x d})
تولد سربا أوليا من n يراعات، كل منها يمثل حلا x_i (i = 1,2,3,...,n)
تحديد شدة الضوء I لكل يراعة بناء على قيمة دالة الهدف
تعريف معامل امتصاص الضوء γ
كرر ذلك حتى يتم تحقيق شرط التوقف أو (t < MaxGeneration)
لكل فايرفلاي i (∀ i=1,2,3,... ,n)
لكل يراعة j (∀ j=1,2,3,... ,i)
احصل على شدات خفيفة ل I_i و_{i j}
إذا_{< أنا ج،} إذن

     
إما
حرك اليراعة عشوائيا لاستكشاف فضاء البحث
النهاية إذا
تنخفض الجاذبية مع المسافة كما في
قيم الحل المحدث وضبط شدة اليراعة وفقا لذلك
نهاية ل
نهاية ل
قم بترتيب اليراعات بناء على شدة الضوء وحدد اليراعات ذات أعلى سطوع كأفضل حل حالي

خوارزمية تحسين اليراعات، التي قدمها جورج ليندفيلد وجون بيني³⁶، تحاكي السلوك الطبيعي لليراعات لجذب الآخرين. في هذه الخوارزمية، جاذبية اليراعة تتناسب طرديا مع سطوعها، بينما المسافة بين يراعين تتناسب عكسيا مع جاذبيتهما. إذا لم تكن هناك يراعات أكثر إشراقا بالقرب منها، ستتحرك اليراعة بشكل عشوائي.

ينجذب يراثان إلى بعضهما البعض بناء على سطوعهما؛ اليراعة الأقل سطوعا ستنجذب نحو نوع أكثر سطوعا. تستخدم الحركة العشوائية عندما لا توجد يراعة أكثر إشراقا. مع β₀ تدل على الجمال، يستخدم المسافة r=0 بين يراعتين لحساب جاذبيتهما. يتم حساب فصل r_jk بين اليراعات j و k كما يلي: هنا، r_ji و r_ki يلاحظان المكونات المكانية^{للبعد i} لليراعات j^th و k^th على التوالي، وn يمثل عدد الأبعاد. حركة اليراعة نحو أخرى تحكمها درجة الجذب بينهما: . في هذه المعادلة، r_j هو الموقع الحالي لليرقة j، γ هو الضوء رانارد هو رقم عشوائي بين 0 و1، α هو معدل الطفرة ومعامل الامتصاص. إذا لم تعد هناك يراعات براقة، ستتحرك اليراعة عشوائيا حسب αα. بعد كل تكرار، يقوم مصنف الغلاف المدمج بالتحقق من صحة الحل الأدنى العام، والذي يعاد إليه.

المصنف

يمكن تصنيف مجموعات البيانات المهيكلة وغير المنظمة عن طريق تقسيمها إلى مجموعات أو فئات منفصلة. الهدف هو استخدام خصائص نقاط البيانات الجديدة للتنبؤ بفئتها أو تصنيفها. يحدد هذا الإجراء الفئة التي تنتمي إليها البيانات الجديدة عن طريق تقريب دالة تحويل من متغيرات الإدخال إلى متغيرات الإخراج المتقطعة.

الغابات العشوائية، أشجار القرار، أقرب الجيران K، الانحدار اللوجستي، وآلات الدعم المتجهة هي من بين خوارزميات الاستقراء أو التصنيف المستخدمة لتقييم حل كشف البرمجيات الخبيثة المقترحة لأندرويد³⁷. علاوة على ذلك، يقدم هذا العمل المصنف العصبي الاصطناعي، وهو مصنف هجين ثوري يجمع بين خوارزميات الاستقراء التقليدية والشبكات العصبية الاصطناعية.

مصنف الخلايا العصبية الاصطناعية

تصميم المصنف العصبي الاصطناعي المقترح (ANC) يجمع بين مصنف استحثائي وشبكات عصبية اصطناعية (ANN)، كما هو موضح في الشكل 4. وفقا لهذه البنية، يتم تعليم الشبكة الصلبة لتحديد الأنماط والترابطات بين ميزات الإدخال. يستخدم مصنف الاستقراء المعلومات التي تعلمتها الشبكة الوطنية لتحسين دقة التعرف على البرمجيات الخبيثة من البرمجيات الآمنة.

بعد اختبارات مكثفة، تم تكوين الشبكة الخلفية داخل ANC بثلاث طبقات مخفية متصلة بالكامل، كل منها يحتوي على M عقدة، متبعة طبقة إدخال تحتوي على N عقدة. هناك طبقة إخراج متصلة بمصنف الحث بعد طبقة مخفية متصلة بالكامل أخرى مع عقدة M/2. المعادلة (8) تحدد عدد العقد في الطبقات المخفية:

(8)

حيث M يمثل عدد العقد في طبقة مخفية، وN يمثل عدد ميزات الإدخال، و α هو معامل يتراوح بين 2 و10. تلعب دالة التنشيط (كما هو موضح في المعادلة (9)) دورا حاسما في تحديد ما إذا كانت الخلية العصبية مفعلة، وذلك بشرط تجاوز المخرج عتبة محددة.

(9)

هنا، يحسب h_θ(x) وفقا للمعادلة (3). يستخدم ANC محسن آدم لضبط أوزان الشبكة ومعدلات التعلم. في آدم، يرمز إلى معدلات الانحلال لتقدير العزم الأول وتقدير العزم الثاني لكل وزن ω_ij ب β₁ و β₂ على التوالي. لتكن N تمثل معدل التعلم. قواعد التحديث لآدم موضحة في المعادلات (10) و(11):

(10)

(11)

تقديرات العزم الأول والثاني المصححين بالانحياز، و ، يتم حسابهما باستخدام المعادلتين (12) و (13):

(12)

(13)

تضمن هذه الحسابات أن المحسن يحافظ على معدلات تعلم مناسبة لكل وزن، مما يسهل تدريبا فعالا وفعالا لفريق ANC.

قاعدة تحديث الوزن لكل اتصال في الشبكة العصبية تعرف بالمعادلة (14):

(14)

بعد تحديث أوزان الشبكة العصبية، يتم تقييم الأداء باستخدام دالة فقدان تقيس التفاوت بين المخرجات المتوقعة والفعلية. في هذا النموذج، يستخدم الخطأ المطلق المتوسط (MAE)، كما هو معرف في المعادلة (15)، لهذا الغرض:

(15)

في هذا السياق، يمثل y_i الناتج الفعلي، ويرمز إلى الناتج المتوقع، وn هو إجمالي عدد عينات المخرج. بعد تدريب الشبكة العصبية على عدد محدد من العصور، يتم نقل التمثيلات المتعلمة من فضاء الميزات إلى مصنف الاستحث للتمييز بين البرمجيات الخبيثة والبرمجيات الحميدة.

يعمل المصنف العصبي الاصطناعي المقترح (ANC) كإطار هجين يجمع بين قدرات تعلم الميزات لشبكة عصبية اصطناعية (ANN) ونقاط اتخاذ القرار في مصنفات الاستقراء التقليدية، مثل الغابة العشوائية وشجرة القرار. في هذا التصميم، يعالج الشبكة الوطنية أولا الميزات المختارة التي تم الحصول عليها من المشفر الذاتي لتعلم الأنماط المعقدة والترابطات بين سمات الإدخال. ثم يتم تمرير التمثيلات الناتجة إلى مصنف الاستقراء، الذي يقوم بالتصنيف النهائي لتطبيقات أندرويد على أنها غير ضارة أو خبيثة. وبهذه الطريقة، يعمل ANC كغلاف، حيث يعزز المصنفات التقليدية بتضمينات ميزات عميقة مع الحفاظ على قابليتها للتفسير. تسمح هذه الآلية الهجينة ل ANC بالاستفادة من تجريد الميزات على مستوى عال من الشبكة الخلفية واتخاذ قرارات قوية من مصنفات التعلم الآلي المعتمدة، مما يؤدي إلى تحسين دقة الكشف والتعميم.

الإعداد التجريبي

تم استخدام نظام تشغيل ويندوز 10 64-بت، مع معالج i5 بسرعة 2.30 جيجاهرتز، وذاكرة RAM بسعة 8 جيجابايت، وقرص صلب بسعة 2 تيرابايت، في الإعداد التجريبي. تم استخدام بايثون 3.7 كلغة برمجة، وتم إعداد منصة Jupyter لتمكين التعلم الآلي وحزم التعلم العميق.

قدم منفذ بيانات IEEE بيانات تسلسل استدعاءات واجهة برمجة التطبيقات للتجربة، والتي تضمنت 43,876 تسلسلا - تم تصنيف 42,797 منها كبرمجيات خبيثة و1,079 كبرنامج خيري. تم استخدام Virus Total للتحقق، وتم استخدام بيئة Cuckoo Sandbox لجمع البيانات. يوفر الجدول 1 شرحا شاملا لتسلسلات استدعاء API.

Results

تستخدم عدة مؤشرات أداء مثل متوسط تربيع الخطأ (MSE)، والجذر المتوسط التربيعي للخطأ (RMSE)، والدقة، والاسترجاع، ودرجة F1، والدقة، في نظام كشف البرمجيات الخبيثة المقترح لأندرويد لتقييم دقة التصنيف. فيما يلي تعريف لهذه المقاييس.

Discussion

تهديدات البرمجيات الخبيثة لأندرويد في تزايد، مع استخدام الخصوم تقنيات تهرب متزايدة التطور. تلعب أنظمة وتطبيقات الجوال المبنية على أندرويد دورا حيويا في المدن الذكية والبيئات الصناعية. ضمان أمان هذه الأنظمة، خاصة في مثل هذه المجالات الحرجة، يتطلب آليات قوية لاكتشاف البرمجيات الخبيثة. مؤخرا، حظي أبحاث اكتشاف البرمجيات الخبيثة القائمة على التعلم الآلي باهتمام كبير¹⁸. ومع ذلك، تعتمد العديد من الطرق الحالية على هندسة الميزات¹⁷، وهي عملية تتطلب ت...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
نافيغيتور أناكوندا	شركة أناكوندا.	الملاح-2023
جوجل كولاب	جوجل ذ.م.م	لا يوجد
دفتر جوبيتر	مشروع جوبيتر	لا يوجد
بايثون	مؤسسة بايثون للبرمجيات	>=3.9
بايتورش	أبحاث الذكاء الاصطناعي على فيسبوك	>=2.0
سكيت-لرن	مدفوع بالمجتمع	>=1.0
تنسور فلو	جوجل برين	>=2.8
نظام تشغيل ويندوز	شركة مايكروسوفت	11