Verbesserung der Android-Malware-Erkennung durch Schwarmintelligenz und Autoencoder-Techniken zur API-Aufrufanalyse

Summary

Ein hybrides Android-Malware-Erkennungs-Framework wird vorgeschlagen, das gelernte Feature-Darstellungen und traditionelle Klassifikatoren nutzt, um die Erkennungsgenauigkeit zu verbessern, manuelles Feature Engineering zu reduzieren und sich entwickelnde Malware-Bedrohungen effektiv zu bekämpfen.

Abstract

Malware Security Intelligence beinhaltet die Analyse von Anwendungen und deren Metadaten, um potenzielle Sicherheitsbedrohungen zu identifizieren. Application Programming Interface (API)-Aufrufe dienen als wertvolle Informationsquelle zur Erkennung von Malware. Die Verringerung des Funktionsraums bei der Malware-Analyse erhöht die Effizienz der Bedrohungserkennung. Diese Forschung zielt darauf ab, die wichtigsten API-Aufruffunktionen zu identifizieren, um die Präzision der Android-Malware-Erkennung zu verbessern. Drei auf Schwarmintelligenz basierende Optimierungstechniken – Firefly-Optimierung, Kuckuckssuch-Optimierung und Ameisenkolonie-Optimierung – werden zusammen mit Auto-Encodern eingesetzt, um die wichtigsten Funktionen zu extrahieren. Zur Bewertung dieser naturinspirierten, auf Wrappern basierenden Methoden werden beliebte Machine-Learning-Klassifikatoren wie K-Nearest Neighbour (KNN), Random Forest (RF), Support Vector Machine (SVM), Decision Tree (DT) und Linear Regression (LR) verwendet. Darüber hinaus wird gezeigt, dass ein hybrider künstlicher neuronaler Klassifikator die Leistung der Malware-Kategorisierung verbessert. Die Wirksamkeit der vorgeschlagenen Methode wird durch experimentelle Ergebnisse nachgewiesen, die eine Genauigkeit von 98,87 % zeigen, wobei nur 7 von 100 API-Aufruffunktionen verwendet werden.

Introduction

Das beliebteste mobile Betriebssystem ist Android, das auf Linux basiert und einen globalen^Marktanteil von 72,55 % hat. Im Gegensatz zu anderen Betriebssystemen, die strengen Gesetzen und Urheberrechten unterliegen, ist Android eine Open-Source-Plattform, die Beiträge von Entwicklern aus aller Welt willkommen heißt. Aufgrund seiner großen Nutzerbasis zielt es jedoch häufig auf Virenangriffe. Malware ist der Begriff für bösartige Software, die darauf abzielt, den Betrieb von Computersystemen zu kompromittieren oder private Informationen auszunutzen. Die häufigste Methode der Malware-Infiltration im Android-Ökosystem ist das Herunterladen von Anwendungen. Während Anwendungen, die von vertrauenswürdigen Quellen stammen, in der Regel sicher sind, können solche, die von nicht verifizierten oder bösartigen Plattformen heruntergeladen werden, schädliche Software enthalten. Cyberkriminelle nutzen häufig Sicherheitslücken in Geräten aus und setzen Malware ein, um deren Integrität^zu gefährden 2.

Da die Zahl der Nutzer weiter wächst, steigt auch das Volumen wertvoller Daten, die Cyberangreifern zur Verfügung stehen. Ein Angreifer kann dies ausnutzen, indem er eine bösartige Anwendung auf offiziellen mobilen Anwendungsmarktplätzen verbreitet. Sobald ein ahnungsloser Nutzer die App installiert, gewährt er dem Angreifer unbeabsichtigt Zugriff auf sein Gerät. Angesichts der zunehmenden Verbreitung solcher Bedrohungen sind fortschrittliche Methoden zur Malware-Erkennung unerlässlich, um der großen Anzahl bösartiger Anwendungen^zu begegnen^. Mehrere bestehende Technologien wurden entwickelt, um Android-Malware ^6,7 vorherzusagen. Diese Ansätze basieren jedoch hauptsächlich auf signaturbasierter Erkennung, bei der digitale Spuren identifiziert werden, die im Anwendungscode eingebettet sind. Diese Signaturen werden aus dem Android Package Kit (APK) der Software extrahiert und mit einer Datenbank bekannter feindlicher Muster abgeglichen. Obwohl dieser Ansatz bereits gemeldete Malware erkennt, kann er keine neuen Bedrohungen erkennen, die noch nicht zur Datenbank hinzugefügt wurden. ⁸

Da sich Malware ständig entwickelt und die Malware immer häufiger wird, ist es entscheidend, eine Lösung zu entwickeln, die verschiedene Arten^{von Malware genau} erkennen kann, während gleichzeitig Zeit und Rechenressourcen optimiert werden. Um die Malware-Erkennung auf Android-Smartphones zu verbessern, wurde viel Arbeit geleistet. Konventionelle signaturbasierte Erkennungstechniken stimmen der Signatur einer APK-Datei mit bösartigen Signaturen überein, die identifiziert und in einer Datenbank gespeichert wurden. Diese Methode funktioniert jedoch nicht für noch nicht gefundene Malware, was die Notwendigkeit ausgefeilterer Erkennungssysteme^betont.

Die Hypothese, die dieser Artikel testen will, lautet: Identifizierung verdächtiger API-Aufrufe, um die Klassifikationsgenauigkeit von harmlosen und bösartigen Android-Anwendungen zu verbessern. Entwicklung und Implementierung eines hybriden Klassifikationsmodells, das Auto-Encoder mit künstlichen neuronalen Netzwerken integriert. Die Formulierung einer Zielfunktion für die Optimierung der Schwarmintelligenz, die den Lernprozess verbessert, indem sie Strafen einführt, um die Entdeckung nahezu optimaler Lösungen zu erleichtern. Untersucht mehrere Leistungskennzahlen und wählt die optimale Methode zur Vorhersage von Android-Malware aus.

Verwandte Arbeiten

Ein bemerkenswerter Anstieg der Diversität und des Umfangs von Malware ist durch die weitverbreitete Nutzung der Android-Plattform entstanden, was Forscher dazu veranlasst hat, effiziente Erkennungs- und Präventionstechniken zu entwickeln 13,14,15. Durch statistische Recherchen haben Deckard und Rasoolzadegan¹⁶ das Problem unausgewühlter Datensätze bei der Erkennung von Android-Malware behandelt. Um die Daten vorzuverarbeiten und auszugleichen, verwendeten sie die Synthetic Minority Oversampling Technique (SMOTE), Under-Sampling und Ranking-Techniken. Mit KNN-, SVM- und Iterative-Dichotomiser-3 (ID3)-Klassifikatoren erreichte ihr Detektionsmodell eine höhere Genauigkeit von 98,69 %, wenn der SMOTE-Ansatz mit dem KNN-Klassifikator¹⁶ kombiniert wurde.

Die Verwendung von Term Frequency-Inverse Document Frequency (TF-IDF) zur Identifikation von Android-Malware wurde von Priya und Visalakshi¹⁷ in einer anderen Studie untersucht. Sie schufen einen Berechtigungsbewerter, um Berechtigungen zu bewerten und zu bewerten, die anschließend mithilfe künstlicher neuronaler Netze klassifiziert wurden. Diese Methode übertraf bestehende Systeme mit einer Genauigkeit von 94,22 %. Zusätzlich wurde zur Verbesserung der Leistung der Android-Malware-Klassifikation auf Basis linearer Regression eine Merkmalauswahlmethode von Yildiz et ^al.18 entwickelt. Ihre Methode verkürzte die Trainingszeit und führte zu einer Genauigkeitssteigerung von 96,1 %. Um die Genauigkeit und Effizienz bei der Android-Malware-Erkennung zu erhöhen, hebt diese Forschung gemeinsam die Bedeutung hervor, Probleme wie Feature-Auswahl und unausgewogen Datensätze anzugehen.

Rekursive Feature Selection (RFS) und ein Ensemble-Klassifikator wurden in einem von Al Sarahh et ^al.19 vorgestellten Modell verwendet, um die Erkennung von Android-Malware zu verbessern. Bei dieser Methode wird der LightGBM-Algorithmus verwendet, um die relevantesten Merkmale zu klassifizieren, die RFS identifiziert hat. Die Ergebnisse des Experiments zeigten, dass das Modell wirksam war, mit einer Klassifikationsgenauigkeit von 99,5 %. Für die Kategorisierung von Android-Malware schlugen Ding et ^al.20 außerdem eine Deep-Learning-Architektur vor, die ein Convolutional Neural Network (CNN) verwendet. Dabei werden Bytecode-Dateien aus Android-APKs extrahiert und in zweidimensionale Bytecode-Matrizen umgewandelt. Diese Matrizen werden verwendet, um das CNN-Modell zu trainieren, das in Experimenten eine Genauigkeitsrate von 95,1 % erreichte. Diese Forschung zeigt, wie Deep-Learning-Modelle und Feature-Auswahltechniken mit Ensemble-Klassifikatoren kombiniert werden können, um die Genauigkeit von Android-Malware-Erkennungssystemen zu erhöhen.

Durch den Einsatz von Deep-Learning-Techniken überwunden Elayan und Mustafa²¹ die Schwächen herkömmlicher Methoden zur Erkennung von Malware in aktualisierten Android-Systemen. Sie übertroffen traditionelle Techniken, indem sie eine Gated Recurrent Unit (GRU) verwendeten, um zwischen bösartigen und harmlosen Apps zu unterscheiden, und erreichten eine Genauigkeit von 98,2 %. Der Analytical Hierarchy Process (AHP) wurde ebenfalls in eine risikobasierte Fuzzy-Technik zur mobilen Virenerkennung integriert, die von Arif et ^al.22 vorgeschlagen wurde. Neben der Identifizierung von Malware bewertet ihr System auch Risikoniveaus und teilt sie in vier Gruppen ein: extrem niedrig, niedrig, mittel und hoch. Mit dieser gründlichen Technik lag die Gesamtgenauigkeit bei 90,54 %. Die Wirksamkeit ausgefeilter maschineller Lernmethoden wie fuzzy-AHP-Frameworks und GRU-basierter Deep-Learning-Modelle bei der Verbesserung der Präzision und Widerstandsfähigkeit von Android-Malware-Erkennungssystemen wird durch diese Studien nachgewiesen.

Um die Nachteile signaturbasierter Ansätze zu überwinden, nutzten Mercaldo und Santone²³ Audiosignalverarbeitungstechniken, um numerische Informationen aus ausführbaren Anwendungsdateien zu extrahieren, indem sie diese in Audiodateien umwandelten. Ihre Methode, die einen neuronalen Netzklassifikator verwendete, erzielte eine Erkennungsgenauigkeit von 95,2 %. Um die Schwierigkeiten der mühsamen Feature Engineering zu überwinden, stellten Zhang et ^al.24 TC-Droid vor, ein automatisches Framework, das Textklassifikationstechniken nutzt. Mit einer Genauigkeitsrate von 96,6 % analysiert diese Methode Textsequenzen aus Anwendungsanalyseberichten mittels konvolutioneller neuronaler Netze.

Mit einer Genauigkeit von 93,4 % präsentierten Imtiaz et ^al.25 DeepAMD, eine auf künstlichen neuronalen Netzwerken basierende Technik, die zur effektiven Kategorisierung und frühzeitigen Erkennung von Android-Malware gedacht ist. Firdaus et ^al.26 entwickelten eine genetisch suchbasierte Feature-Auswahltechnik für statische Analysen bei der Android-Malware-Erkennung. Mit einer Genauigkeitsrate von 95 % übertroffen funktionale Bäume andere maschinelle Lernklassifikatoren in den Tests. Eine Merkmalsauswahlmethode namens Delta_IDF wurde von Peynirci et ^al.27 vorgestellt. Es berechnet inverse Dokumentfrequenzwerte basierend auf String-Vorkommen in APK-Dateien. Im Vergleich zu anderen Algorithmen lieferten ihre Experimente ermutigende Ergebnisse.

Shi et ^al.28 schlugen ein hybrides CNN-DNN-Framework vor, das eine starke Detektionsgenauigkeit zeigte, indem es die Stärken von Faltungs- und dichten Schichten für die Extraktion und Klassifikation von Merkmalen kombinierte. Ebenso lieferten Shu et ^al.29 eine umfassende Übersicht zu CNN-basierten Android-Malware-Erkennungsmethoden und hoben deren Stärken bei der Erfassung räumlicher Abhängigkeiten innerhalb von API- und Opcode-Sequenzen hervor. Im Kontext des Internets der Dinge (IoT) entwickelten Naeem et ^al.30 ein gestapeltes Ensemble tiefer Faltungsnetzwerke zur Malware-Klassifikation, was die Robustheit in heterogenen IoT-Bedrohungsumgebungen verbesserte. Kürzlich führten Shu und Dong³¹ LG-PN ein, einen lokal-globalen Fusionsansatz in prototypischen Netzwerken, um die Erkennung bisher unbekannter Android-Malware zu verbessern. Obwohl diese Methoden bemerkenswerte Erfolge erzielten, basieren sie größtenteils auf tiefgreifenden Faltungsarchitekturen und erfordern erhebliche Rechenressourcen. Im Gegensatz dazu integriert die vorliegende Arbeit Schwarmintelligenz mit der autoencoderbasierten Merkmalauswahl, um die Dimensionalität zu reduzieren und die Effizienz zu verbessern, wodurch eine komplementäre und leichte Alternative zu tiefgreifenden CNN-basierten Lösungen angeboten wird.

Mehrere frühere Studien konzentrierten sich ebenfalls speziell auf API-Aufruf-basierte Android-Malware-Erkennung, da API-Sequenzen starke Verhaltensindikatoren für bösartige Aktivitäten sind. So schlugen beispielsweise Karbab et ^al.32 vor, Deep Learning bei Sequenzen von API-Methodenaufrufen zur Identifizierung bösartiger Anwendungen einzusetzen, und zeigten, dass zeitliche Muster in der API-Nutzung Malware effektiv von harmlosen Apps unterscheiden können. Ähnlich bewerteten Muzaffar et ^al.33 verschiedene Machine-Learning-Modelle zu API-Aufruffunktionen und hoben die Bedeutung der Merkmalsauswahl und -darstellung zur Verbesserung der Erkennungsleistung hervor. Obwohl diese Arbeiten den Nutzen von API-Elementen hervorheben, basieren die meisten entweder auf tiefgründigen Sequenzmodellen oder handgefertigter Feature Engineering, die rechenintensiv oder weniger verallgemeinerbar sein können. Im Gegensatz dazu nutzt diese Studie Schwarmintelligenz-Algorithmen in Kombination mit Autoencodern, um die API-Feature-Dimensionalität automatisch zu reduzieren, und setzt dann einen hybriden künstlichen neuronalen Klassifikator ein, um die Erkennungsleistung zu verbessern. Dies positioniert unseren Ansatz als eine leichte, aber effektive Alternative, die direkt die Herausforderungen hochdimensionaler API-Aufrufdaten adressiert.

Durch die Integration künstlicher neuronaler Netzwerke (ANNs) zielt die vorgeschlagene Methodik in dieser Studie darauf ab, die Erkennung und Kategorisierung von Android-Malware zu verbessern. Erstens werden Auto-Encoder in Wrapper-basierten Feature-Auswahltechniken verwendet, um die wichtigsten Eigenschaften zu finden, die gefährliche Apps von harmlosen unterscheiden. Um die Wirksamkeit der Android-Malware-Klassifikation zu erhöhen, wird anschließend ein einzigartiger künstlicher neuronaler Klassifikator bewertet, der ANNs mit Induktionsklassifikatoren kombiniert.

Protocol

Die auf Wrapper basierende Feature-Auswahlmethode mit Auto-Encodern wird in der vorgeschlagenen Architektur für die Android-Malware-Erkennung verwendet, wie in Abbildung 1 dargestellt. Der Datensatz ist in 70:30-Trainings- und Testuntersätze unterteilt. Klassifizierung und Feature-Auswahl sind die beiden Hauptschritte im Malware-Analyseprozess.

Merkmalauswahl (FS): Dieser Schritt besteht darin, iterativ nach den besten Feature-Subsets zu suchen (siehe Definition 1) mithilfe von Schwarmintelligenz-basierten Algorithmen, insbesondere Cuckoo Search Optimization (CSO), Ant Lion Optimization (ALO) und Firefly Optimization (FO). Danach verarbeiten Auto-Encoder die ausgewählten Merkmale, um eine komprimierte Darstellung der eingehenden Daten zu erzeugen. Ein Induktionsansatz nutzt dann die Ausgabe der Auto-Encoder, um zu bewerten, wie gut diese Funktionen zwischen gefährlichen und harmlosen Apps unterscheiden. Um eine präzise Kategorisierung nachfolgender Fälle zu ermöglichen, erstellt der Induktionsalgorithmus einen Klassifikator, indem er den Merkmalsraum auf eine Sammlung von Klassenlabels abbildet.

Klassifikation: Mit dem vorgeschlagenen künstlichen neuronalen Klassifikator und bekannten Induktionsmethoden wird der reduzierte Funktionssatz aus der Merkmalauswahlphase in dieser Phase bewertet, um zu sehen, wie effektiv er Android-Malware erkennen kann.

Durch den Einsatz ausgefeilter Klassifikationsansätze und die Konzentration auf die informativsten Funktionen versucht diese Methodik, die Genauigkeit und Effizienz der Android-Malware-Erkennung zu verbessern.

Auswahl der Ausstattung

Ein entscheidender Schritt im maschinellen Lernen ist die Merkmalsauswahl, bei der festgestellt wird, welche Merkmale für den Modellbau am zuverlässigsten, relevantesten und nicht redundant sind. Die methodische Reduzierung von Funktionsmengen wird immer wichtiger, da die Datensätze weiter an Größe und Komplexität wachsen. Das Hauptziel der Feature-Auswahl ist es, die Modellleistung zu maximieren und gleichzeitig die Rechenkosten zu senken. Wiederholende und unnötige Funktionen werden entfernt, sodass sich der Prozess auf die für das Modell wichtigsten Variablen konzentrieren kann. Anstatt sich auf den Machine-Learning-Algorithmus zu verlassen, um signifikante Merkmale zu identifizieren, sind folgende Vorteile der Merkmalsauswahl vor dem Modelltraining aufgeführt:

Vereinfachte Modelle: Die Reduzierung der Anzahl der Eingabevariablen führt zu einfacheren Modellen, die leichter zu interpretieren und verständlich sind.

Varianzreduktion: Durch den Fokus auf wesentliche Merkmale hilft die Merkmalsauswahl, die Modellvarianz zu verringern, wodurch Überanpassung abgemildert und die Verallgemeinerung auf neue Daten verbessert wird.

Verkürzte Trainingszeit: Ein kleinerer Funktionssatz verringert die Rechenbelastung, was zu schnellerem Modelltraining und -auswertung führt.

Abschwächung des Fluchs der Dimensionalität: Hochdimensionale Daten können Herausforderungen wie erhöhte Komplexität und Überanpassung darstellen; Die Merkmalsauswahl adressiert diese Probleme, indem der Merkmalsraum auf die informativsten Variablen beschränkt wird.

Definition 1 der Merkmalsauswahl

Stellen Sie sich einen Induktor I und einen Datensatz D vor, der eine Verteilung D über einen beschrifteten Instanzraum hat und Features enthält (x_{1,x 2,x 3},... ,x_n). Die Teilmenge der Merkmale, die die Genauigkeit des Klassifikators C=I(D) optimiert, wird als optimale Merkmalsteilmenge X_opt bezeichnet.

Bei der unbeaufsichtigten Merkmalsauswahl zielen wrapperbasierte Ansätze darauf ab, die optimale Kombination von Funktionen zu identifizieren, die die Modellleistung verbessern. Durch systematische Hinzufügen oder Entfernung von Merkmalen, oft durch gierige Algorithmen, bewerten diese Methoden verschiedene Modelle, um die wirkungsvollsten Merkmale für die Modellentwicklung auszuwählen. Dieser Prozess ist in Abbildung 2 dargestellt.

Für die Feature-Auswahl werden Schwarmintelligenzalgorithmen wie Firefly Optimization (FO), Cuckoo Search Optimization (CSO) und Ant Lion Optimization (ALO) eingesetzt, um konventionelle gierige Taktiken zu übertreffen. Die in der Fitnessbewertungsphase gewählte Zielfunktion hat einen erheblichen Einfluss auf die Wirksamkeit dieser Algorithmen. Sowohl die Anzahl der ausgewählten Features als auch der Fehler des Modells am Ende jeder Iteration werden im iterativen, wrapperbasierten Merkmalsauswahlverfahren berücksichtigt, um die Angemessenheit der ausgewählten Features zu bewerten. Gleichung (1) formalisiert diese Auswertung.

(1)

Die Strafe des Lernalgorithmus für Fehler, die während der Fitnessbewertung gemacht werden, wird in dieser Gleichung durch τ dargestellt, wobei τ ∈ [0,1]. Die Länge der gewählten Merkmals-Teilmenge wird durch die Variable l bezeichnet, und die Gesamtzahl der Merkmale wird durch die Variable u dargestellt.

Auto-Encoder

Neuronale Netze, die sich auf das Erlernen komprimierter Darstellungen von Eingabedaten spezialisiert haben, werden als Autoencoder bezeichnet. Ein Encoder und ein Decoder sind die beiden Hauptteile von ihnen. Während der Decoder versucht, die ursprüngliche Eingabe aus dieser komprimierten Form wiederherzustellen, verarbeitet der Encoder die Eingabedaten und komprimiert sie in eine latente Raumrepräsentation. Das Training von Machine-Learning-Modellen wird dadurch erleichtert, dass der Encoder nach dem Training wertvolle Funktionen aus unverarbeiteten Daten extrahieren kann.

Die vorgeschlagene Autoencoder-Architektur (wie in Abbildung 3 dargestellt) umfasst einen Encoder, der aus einer Eingabeschicht mit N Knoten besteht, gefolgt von zwei versteckten Schichten mit N*2 bzw. N Knoten. Es gibt eine zweite versteckte Schicht mit N/2 Knoten, die als latenter Raum bezeichnet wird. Mit zwei versteckten Schichten von [N, N*2]-Knoten repliziert der Decoder diese Struktur und endet mit einer Ausgabeschicht von N Knoten.

Auf jede versteckte Schicht folgt eine Batch-Normalisierung, um den Trainingsprozess zu beschleunigen und zu stabilisieren, und alle Schichten verwenden die LeakyReLU-Aktivierungsfunktion, um mögliche Probleme mit dem Verschwindungsgradienten zu bewältigen. Gleichung (2) liefert eine mathematische Definition der LeakyReLU-Aktivierungsfunktion:

 (2)

Wobei h_θ(x) mit Gleichung (3) erhalten wird

(3)

Hier stellt x_i=(x_{1,x 2},...,x_n) die Eingabewerte für die Knoten dar, während w_i=(w_{1,w 2},...,w_n) die Gewichte für diese Knoten bezeichnet. Während des Lernprozesses werden die Gewichte angepasst, nachdem sie zunächst zufällig innerhalb des Bereichs [0,1] zugewiesen wurden. Um zu verhindern, dass die Parameter durch den Ursprung gehen, wird an jeder Schicht ein Bias-Term hinzugefügt. Gleichung (4) definiert den Schwellenwert, und wenn das aus Gleichung (3) erhaltene Ergebnis diese übersteigt, wird ein Knoten ausgelöst.

 (4)

Ameisenlöwen-basierte Feature-Auswahloptimierung (ALWFSO)

Der Ant Lion Optimizer (ALO) modelliert das natürliche räuberische Verhalten des Ameisenlöwen, wurde erstmals von Seyed Ali Mirjalili³⁴ vorgestellt. Dieser Optimierungsalgorithmus identifiziert effizient optimale Lösungen unabhängig von den Anfangsparameterwerten. ALO zeigt eine schnelle Konvergenz und verwaltet sowohl ganzzahlige als auch diskrete Nebenbedingungen effektiv. Beutefang, Fallen erlegen, Ameisen einschließen, zufällige Ameisenbewegungen und Fallenreparatur sind die Schritte, die den Jagdprozess in ALO ausmachen.

Im Kontext des Ant Lion Optimizer (ALO)-Algorithmus repräsentieren Ameisen Kandidatenlösungen, die Zufallssuchen im Lösungsraum durchführen, während Ameisen den Fallen oder Leitfäden entsprechen, die die Bewegungen der Ameisen basierend auf Fitnesswerten beeinflussen. Diese doppelte Population modelliert das natürliche räuberische Verhalten von Ameisenlöwen, die Ameisen fangen. Zu Beginn werden die Populationen von Ameisen und Ameisenlöwen zufällig initialisiert. Ameisenlöwen werden für jede Ameise mittels des Roulette-Rad-Auswahlmechanismus ausgewählt, gefolgt von einem Zufallsgang (wie in Algorithmus-1 gezeigt). Gleichung (5) beschreibt dann, wie dieser Gang normalisiert wird.

 (5)

Anfangs werden Ameisen- und Ameisenlöwenpopulationen zufällig gebildet. Für jede Ameise wird ein Ameise mit einem Roulette-Rad-Mechanismus gewählt, der einen Zufallsgang ermöglicht, der mit vorgegebenen Formeln normalisiert wird. Dieser Prozess stellt sicher, dass die Bewegungen der Ameisen von den Positionen der Ameisenlöwen beeinflusst werden, wodurch der natürliche Jagdprozess effektiv simuliert wird. Die Position jeder Ameise wird dann basierend auf dieser Interaktion aktualisiert, wodurch die Suche zu optimalen Lösungen geleitet wird.

Aufgrund seiner Architektur kann der ALO-Algorithmus komplexe Suchräume effektiv durchlaufen und ist damit ein mächtiges Werkzeug zur Lösung verschiedener Optimierungsprobleme. Die Fitness jeder Ameise wird am Ende jeder Wiederholung bewertet. Wie in Algorithmus-1 gezeigt, wird der Ameisenlöwe gegen die Ameise ersetzt, wenn die Ameise fitter ist als ihr Gegenstück. In diesem Fall bezeichnet , die Position der^i-ten Ameise bei Iteration t; I ist ein Verhältnis; zeigt die Position des j^{. Th.} Ameisenlöwen bei Iteration t an; ist die Elite für den Zufallsgang bei Iteration t, der vom Rouletterad ausgewählt wird; und ist der Zufallsgang des Ameisenlöwen in Iteration t, der ebenfalls vom Rouletterad bestimmt wird. Nach Abschluss jedes Zyklus wird die global optimale Lösung, bestätigt durch den integrierten Wrapper-Klassifikator, zurückgegeben.

Algorithmus 1: ALWFSO
Definiere die Zielfunktion: f(x):x=(x_{1,x 2},...,x_d)
Initialisierung der Ameisen- und Ameisenkolonie zufällig
Berechnung der Fitness von Ameisen und Ameisenlöwen
Wähle die besten Ameisenlöwen und gehe davon aus, dass sie Elite sind.
Wiederholen, bis die Abschlussbedingung erfüllt ist oder f(x):x=(x_{1,x 2},...,x_d)
Für jede Ameisen-Ameisen-Löwen-Auswahl: Verwenden Sie einen Roulette-Rad-Auswahlmechanismus, um probabilistisch einen Ameisenlöwen auszuwählen, der die Bewegung der Ameise beeinflusst
X(t) = [0,cum_sum(2r(t₁) - 1),cum_sum(2r(t₂) - 1),...,cum_sum(2r(t_n)-1)]


Ende der Ameisenschleife
Fitnessbewertung: Berechnen Sie die Fitnesswerte aller Ameisen basierend auf ihren neuen Positionen neu.
Ersetzen Sie Ameisenlöwen durch Ameisen, wenn diese eine überlegene Fitness zeigen
Wenn ein Ameisenlöwe fitter wird, dann

Ende während

Cuckoo Search Wrapper-basierte Feature-Auswahloptimierung (CSWFSO)

Inspiriert vom Brutparasitismus einiger Kuckucksarten, die ihre Eier in die Nester anderer Wirtsvögel legen, entwickelten Xin-She Yang und Susah Deb³⁵ 2009 den Cuckoo Search-Algorithmus. Bei diesem Verfahren legt jeder Kuckuck ein Ei in ein zufällig ausgewähltes Nest. Zukünftige Generationen werden Nester mit den besten Eiern erben. Die Wahrscheinlichkeit, dass ein Wirtsvogel ein außerirdisches Ei entdeckt, liegt bei null, und es gibt nur eine begrenzte Anzahl von Wirtsnestern.

Algorithmus 2: CSWFSO

Definiere Zielfunktion: f(x):x = (x_{1,x 2},...,x_d)
Erzeugen Sie zufällig eine Anfangspopulation von n Host-Nestern, die jeweils einer Kandidatenlösung x_i entsprechen (i=1,2,3,...,n)
Wiederholen Sie sich, bis die Stoppbedingung erfüllt ist oder (tFür einen zufällig ausgewählten Kuckuck i erstelle eine neue Kandidatlösung mit Lévy-Flug

Berechnen Sie die Fitness der neu generierten Lösung F_i [Zur Maximierung gilt F_i α f(x_i)]
Wählen Sie zufällig ein Wirtsnest j aus der Population n aus
wenn (F_i >F_j), dann wird j durch eine neue Lösung ersetzt
Ende, wenn
Geben Sie einen Teil der schlechteren Netze mit (p_a) Bruchteil auf
Neue Nester werden im Abandoned Fraction (p_a) gebaut, wobei verwendet wird
Legen Sie die besten Lösungen oder Nester beiseite.
Indem Sie sie bewerten, wählen Sie das beste Nest oder die beste Lösung, die gerade jetzt verfügbar ist.
Die nächste Generation erbt die beste Lösung, die derzeit verfügbar ist.
Ende während

Zu Beginn werden alle Nester zufällig initialisiert. Im Verlauf der Iterationen ändert jeder Kuckuck seine Position im Lösungsraum durch Lévy-Flüge, wie in Algorithmus 2 beschrieben. Die Schrittlänge wird um ∝ angepasst, und eine sigmoidische Operation wandelt die durch die Cuckoo Search Optimization (CSO) erzeugten kontinuierlichen Werte in ein binäres Format um, wie in den Gleichungen (6) und (7) dargestellt.

(6)

(7)

Wie in Algorithmus 2 gezeigt, wobei und zufällig ausgewählte Nester und δ ∈ [0,1] sind, werden am Ende jeder Iteration einige Nester aufgegeben und mit neuen Kandidatenlösungen aktualisiert.

Inspiriert vom Brutparasitismus des Kuckucksvogels hat sich der Cuckoo Search Optimization (CSO)-Algorithmus als nützliches Werkzeug für Feature-Auswahlaufgaben³⁵ erwiesen. Die Technik beginnt mit der Initialisierung einer Population von Nestern, von denen jedes eine mögliche Lösung im Kontext der wrapperbasierten CSO-Feature-Auswahl darstellt. Eine vorgegebene Zielfunktion wird verwendet, um die Fitness dieser Nester zu bewerten. Durch Fitnessbewertungen bestimmt der Algorithmus bei jeder Iteration die optimale Lösung – die als globale beste bezeichnet wird. Um den Lösungsraum besser zu erforschen, wird ein Teil des Nästes, dargestellt durch Erbse, gemäß dem CSO-Protokoll durch neue ersetzt. Der eingebettete Wrapper-Klassifikator bestätigt, dass der Algorithmus nach Abschluss aller Iterationen die global optimale Antwort liefert.

Firefly-basierte Feature-Auswahloptimierung (FWFSO)

Algorithmus 3: FWFSO
Definiere die Zielfunktion: f(x):x = (x_{1,x 2},...,x_d)
Erzeugen Sie einen Anfangsschwarm von n Glühwürmchen, von denen jede eine Lösung x_i repräsentiert (i = 1,2,3,...,n)
Bestimme die Lichtintensität I jedes Glühwürmchens anhand des Werts der Zielfunktion
Definiere den Lichtabsorptionskoeffizienten γ
Wiederholen Sie sich, bis die Stoppbedingung erfüllt ist oder (t < MaxGeneration)
Für jedes Glühwürmchen i (∀ i=1,2,3,... ,n)
für jedes Glühwürmchen j (∀ j=1,2,3,... ,i)
Erhalten Sie Lichtintensitäten von I_i und_{I j}
wenn ich_{i <} j_dann

     
oder
Bewege das Glühwürmchen zufällig, um den Suchraum zu erkunden
Ende, wenn
Die Attraktivität nimmt mit der Entfernung ab, als
Bewerten Sie die aktualisierte Lösung und passen Sie die Intensität des Glühwürmchens entsprechend an
Ende für
Ende für
Bewerten Sie die Glühwürmchen nach ihrer Lichtintensität und identifizieren Sie die mit der höchsten Helligkeit als aktuell beste Lösung

Der Firefly Optimization Algorithmus, eingeführt von George Lindfield und John Penny³⁶, emuliert das natürliche Verhalten von Glühwürmchen, um andere anzulocken. In diesem Algorithmus ist die Attraktivität eines Glühwürmchens direkt proportional zu seiner Helligkeit, während der Abstand zwischen zwei Glühwürmchen umgekehrt proportional zu ihrer Attraktivität ist. Wenn keine helleren Glühwürmchen in der Nähe sind, bewegt sich ein Glühmwürmchen zufällig.

Zwei Glühwürmchen fühlen sich aufgrund ihrer Helligkeit voneinander angezogen; Ein weniger helles Glühwürmchen tendiert zu einem helleren. Zufällige Bewegung wird verwendet, wenn kein helleres Glühwürmchen vorhanden ist. Mit β₀ als Schönheit wird der Abstand r=0 zwischen zwei Glühwürmchen verwendet, um ihre Attraktivität zu berechnen. Die r_jk Trennung zwischen Glühwürmchen j und k wird wie folgt berechnet: Hier notieren r_ji und r_ki die räumlichen Komponenten der^i-ten Dimension für Glühwürmchen j^th bzw. k^th, und n stellt die Anzahl der Dimensionen dar. Die Bewegung eines Glühwürmchens zu einem anderen wird durch den Grad der Anziehung zwischen ihnen bestimmt: . In dieser Gleichung ist r_j die aktuelle Position von Glühwürmchen j, γ ist das Licht. Ranard ist eine Zufallszahl zwischen 0 und 1, α ist die Mutationsrate und der Absorptionskoeffizient. Sollte es keine brillanten Glühwürmchen mehr geben, bewegt sich das Glühwürmchen laut αα zufällig. Nach jeder Iteration validiert der eingebettete Wrapper-Klassifikator die globale Minimallösung, die dann zurückgegeben wird.

Klassifikator

Sowohl strukturierte als auch unstrukturierte Datensätze können klassifiziert werden, indem sie in diskrete Gruppen oder Klassen unterteilt werden. Das Ziel ist es, die Attribute frischer Datenpunkte zu verwenden, um deren Klasse oder Label vorherzusagen. Dieses Verfahren bestimmt die Kategorie, zu der frische Daten gehören, indem eine Abbildung von Eingabevariablen auf diskrete Ausgabevariablen approximiert wird.

Random Forests, Decision Trees, K-Nearest Neighbors, Logistic Regression und Support Vector Machines gehören zu den Induktions- oder Klassifikationsalgorithmen, die zur Bewertung der vorgeschlagenen Android-Malware-Erkennungslösung³⁷ verwendet werden. Darüber hinaus präsentiert diese Arbeit den Artificial Neuronal Classifier, einen revolutionären hybriden Klassifikator, der konventionelle Induktionsalgorithmen mit künstlichen neuronalen Netzwerken kombiniert.

Künstlicher neuronaler Klassifikator

Das vorgeschlagene Design des künstlichen neuronalen Klassifikators (ANC) kombiniert einen Induktionsklassifikator und künstliche neuronale Netzwerke (ANN), wie in Abbildung 4 zu sehen ist. Nach dieser Architektur wird dem ANN beigebracht, Muster und Korrelationen zwischen den Eingabemerkmalen zu erkennen. Der Induktionsklassifikator nutzt die von der ANN gewonnenen Informationen, um die Präzision bei der Identifizierung von schädlicher Software von sicherer Software zu verbessern.

Nach umfangreichen Tests wurde das ANN im ANC mit drei vollständig verbundenen versteckten Schichten konfiguriert, jede mit M-Knoten, die einer Eingangsschicht mit N Knoten folgten. Es gibt eine Ausgangsschicht, die nach einer weitergehend vollständig verbundenen versteckten Schicht mit M/2-Knoten mit dem Induktionsklassifikator verbunden ist. Gleichung (8) bestimmt die Anzahl der Knoten in den verborgenen Schichten:

(8)

wobei M die Anzahl der Knoten in einer versteckten Schicht bezeichnet, N die Anzahl der Eingabemerkmale und α ein Parameter zwischen 2 und 10 ist. Die Aktivierungsfunktion (wie in Gleichung (9) gezeigt) spielt eine entscheidende Rolle bei der Feststellung, ob ein Neuron aktiviert wird, abhängig davon, dass der Ausgang einen bestimmten Schwellenwert überschreitet.

(9)

Hier wird h_θ(x) gemäß Gleichung (3) berechnet. Der ANC nutzt den Adam-Optimierer, um Netzwerkgewichte und Lernraten anzupassen. In Adam werden die Zerfallsraten für die erste Momentschätzung und die zweite Momentschätzung für jedes Gewicht ω_ij mit β₁ bzw. β₂ bezeichnet. Sei N für die Lernrate. Die Aktualisierungsregeln für Adam sind in den Gleichungen (10) und (11) dargestellt:

(10)

(11)

Die bias-korrigierten Erst- und Zweitmoment-Schätzungen und , werden mit den Gleichungen (12) und (13) berechnet:

(12)

(13)

Diese Berechnungen stellen sicher, dass der Optimierer für jedes Gewicht angemessene Lernraten einhält, was ein effizientes und effektives Training des ANC ermöglicht.

Die Gewichtungsaktualisierungsregel für jede Verbindung im neuronalen Netz ist durch Gleichung (14) definiert:

(14)

Nach Aktualisierung der neuronalen Netzgewichte wird die Leistung mit einer Verlustfunktion bewertet, die die Diskrepanz zwischen den vorhergesagten und tatsächlichen Ausgaben misst. In diesem Modell wird der mittlere absolute Fehler (MAE), wie in Gleichung (15) definiert, zu diesem Zweck verwendet:

(15)

In diesem Zusammenhang stellt y_i die tatsächliche Ausgabe dar, bezeichnet die vorhergesagte Ausgabe und n ist die Gesamtzahl der Ausgabeinstanzen. Nachdem das neuronale Netzwerk über eine definierte Anzahl von Epochen trainiert wurde, werden die erlernten Darstellungen aus dem Featurespace auf den Induktionsklassifikator übertragen, um zwischen Malware und harmloser Software zu unterscheiden.

Der vorgeschlagene Artificial Neuronal Classifier (ANC) fungiert als hybrides Framework, das die Feature-Learning-Fähigkeiten eines künstlichen neuronalen Netzwerks (ANN) mit den Entscheidungsstärken traditioneller Induktionsklassifikatoren wie Random Forest und Decision Tree kombiniert. In diesem Design verarbeitet das ANN zunächst die ausgewählten Merkmale, die vom Autoencoder erhalten werden, um komplexe Muster und Korrelationen zwischen Eingabeattributen zu lernen. Die resultierenden erlernten Darstellungen werden dann an den Induktionsklassifikator weitergegeben, der die endgültige Klassifikation der Android-Anwendungen als gutartig oder bösartig durchführt. Auf diese Weise fungiert das ANC als Wrapper, das konventionelle Klassifikatoren mit tiefen Merkmalseinbettungen verbessert und gleichzeitig deren Interpretierbarkeit bewahrt. Dieser hybride Mechanismus ermöglicht es dem ANC, sowohl die hochrangige Feature-Abstraktion aus dem ANN als auch robuste Entscheidungsfindung durch etablierte Machine-Learning-Klassifikatoren zu nutzen, was zu einer verbesserten Erkennungsgenauigkeit und Verallgemeinerung führt.

Experimenteller Aufbau

Ein 64-Bit-Windows-10-Betriebssystem mit einem i5-Prozessor – 2,30 GHz, 8 GB RAM und einer 2-TB-Festplatte – wurde im experimentellen Setup verwendet. Python 3.7 wurde als Programmiersprache verwendet, und die Jupyter-Plattform wurde eingerichtet, um maschinelles Lernen und Deep-Learning-Pakete zu ermöglichen.

Der IEEE Dataport lieferte die API-Aufrufsequenzdaten des Experiments, die 43.876 Sequenzen umfassten – davon wurden 42.797 als Malware und 1.079 als Goodware klassifiziert. Virus Total wurde zur Verifikation verwendet, und die Cuckoo Sandbox-Umgebung wurde für die Datenerhebung genutzt. Tabelle 1 bietet eine umfassende Erklärung der API-Aufrufsequenzen.

Results

Mehrere Leistungsindikatoren, wie Mean Squared Error (), Root Mean Squared Error (RMSE), Precision, Recall, F1-Score und Genauigkeit, werden im vorgeschlagenen Android-Malware-Erkennungssystem verwendet, um die Klassifikationsgenauigkeit zu bewerten. Im Folgenden eine Definition dieser Maße.

Discussion

Die Bedrohungen von Android-Malware nehmen zu, wobei Gegner immer ausgefeiltere Umgehungstechniken einsetzen. Android-basierte mobile Systeme und Anwendungen spielen eine entscheidende Rolle in Smart Cities und Industrieumgebungen. Die Sicherheit dieser Systeme, insbesondere in solch kritischen Bereichen, erfordert robuste Mechanismen zur Erkennung von Schadsoftware. In letzter Zeit hat die auf maschinellem Lernen basierende Malware-Erkennungsforschung erhebliche^Aufmerk...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
Anaconda Navigator	Anaconda, Inc.	Navigator-2023
Google Colab	Google LLC	N/A
Jupyter-Notizbuch	Projekt Jupyter	N/A
Python	Python Software Foundation	>=3,9
PyTorch	Facebook-KI-Forschung	>=2,0
Scikit-learn	Gemeinschaftsgetrieben	>=1,0
TensorFlow	Google Brain	>=2,8
Windows-Betriebssystem	Microsoft Corporation	11