שיפור זיהוי תוכנות זדוניות באנדרואיד באמצעות אינטליגנציה של להק וטכניקות מקודד אוטומטי המיושמות לניתוח שיחות API

Summary

מוצעת מסגרת היברידית לזיהוי תוכנות זדוניות לאנדרואיד, המנצלת ייצוגי תכונות שנלמדו ומסווגים מסורתיים כדי לשפר את דיוק האיתור, להפחית הנדסת תכונות ידנית ולהתמודד עם איומי תוכנות זדוניות בצורה יעילה.

Abstract

מודיעין אבטחת תוכנות זדוניות כולל ניתוח יישומים והמטא-דאטה שלהם כדי לזהות איומי אבטחה פוטנציאליים. קריאות מממשק תכנות יישומים (API) משמשות מקור מידע חשוב לזיהוי תוכנות זדוניות. הפחתת שטח התכונות בניתוח תוכנות זדוניות משפרת את יעילות זיהוי האיומים. מחקר זה שואף לזהות את תכונות קריאת ה-API המשמעותיות ביותר כדי לשפר את הדיוק בזיהוי תוכנות זדוניות באנדרואיד. שלוש טכניקות אופטימיזציה מבוססות אינטליגנציה של להקה—אוטימיזציה של Firefly, Cuckoo Search Optimization ו-Ant Colony Optimization — משולבות יחד עם אוטו-אנקודרים כדי לחלץ את התכונות המשמעותיות ביותר. להערכת שיטות מבוססות עטיפה בהשראת טבע, משתמשים במסווגי למידת מכונה פופולריים, כולל K-Nearest Neighbour (KNN), Random Forest (RF), Machine Support Vector Machine (SVM), Decision Tree (DT) ו-Linear Regression (LR). יתרה מזאת, מסווג עצבי מלאכותי היברידי הוכח כמשפר את ביצועי סיווג תוכנות זדוניות. יעילות השיטה המוצעת מודגמת בתוצאות ניסיוניות, המראות דיוק של 98.87% באמצעות 7 מתוך 100 תכונות קריאה ב-API.

Introduction

מערכת ההפעלה הניידת הפופולרית ביותר היא אנדרואיד, המבוססת על לינוקס ויש^{לה נתח} שוק עולמי של 72.55%. בניגוד למערכות הפעלה אחרות הכפופות לחוקים מחמירים וזכויות יוצרים, אנדרואיד היא פלטפורמה בקוד פתוח שמקבלת תרומות ממפתחים מכל העולם. אבל בגלל בסיס המשתמשים הגדול, התקפות וירוס פוגעות בו לעיתים קרובות. תוכנות זדוניות הן המונח לתוכנה זדונית שמטרתה לסכן את פעולת מערכות המחשב או לנצל מידע פרטי. השיטה הנפוצה ביותר לחדירת תוכנות זדוניות במערכת האקולוגית של אנדרואיד היא באמצעות הורדת אפליקציות. בעוד שיישומים שמקבלים ממקורות אמינים בדרך כלל מאובטחים, אלו שמורדים מפלטפורמות לא מאומתות או זדוניות עלולים להכיל תוכנות מזיקות. פושעי סייבר מנצלים לעיתים קרובות פגיעויות אבטחה במכשירים, ומשתמשים בתוכנות זדוניות כדי לפגוע בשלמותם².

ככל שמספר המשתמשים ממשיך לגדול, גם נפח הנתונים היקרים הנגישים לתוקפי סייבר עולה. תוקף עשוי לנצל זאת על ידי הפצת אפליקציה זדונית בשווקי אפליקציות מובייל רשמיים. ברגע שמשתמש לא חושד מתקין את האפליקציה, הוא בטעות מעניק לתוקף גישה למכשיר שלו. בהינתן השכיחות הגוברת של איומים כאלה, טכניקות מתקדמות לזיהוי תוכנות זדוניות חיוניות להתמודדות עם מספר עצום של יישומים זדוניים ^3,4,5. פותחו מספר טכנולוגיות קיימות לחיזוי תוכנות זדוניות של אנדרואיד ^6,7. עם זאת, גישות אלו מתבססות בעיקר על זיהוי מבוסס חתימה, הכולל זיהוי עקבות דיגיטליות המוטמעות. החתימות הללו, שנלקחו מערכת החבילות של Android (APK) של התוכנה, מותאמות למסד נתונים של דפוסים עוינים ידועים. למרות שגישה זו מצליחה בזיהוי תוכנות זדוניות שכבר דווחו, היא אינה מסוגלת לזהות איומים חדשים שטרם נוספו למסד הנתונים. ⁸

ככל שתוכנות זדוניות ממשיכות להתפתח, עם העלייה בשכיחות של תוכנות זדוניות, חשוב לפתח פתרון שמסוגל לזהות במדויק סוגים שונים של תוכנות זדוניות^תוך אופטימיזציה של זמן ומשאבים חישוביים. כדי לשפר את זיהוי תוכנות זדוניות בסמארטפוני אנדרואיד, נעשתה עבודה רבה. טכניקות זיהוי מבוססות חתימה קונבנציונליות תואמות את החתימה של קובץ APK לחתימות זדוניות שזוהו ונשמרו במסד נתונים. אך שיטה זו אינה עובדת עבור תוכנות זדוניות שטרם נמצאו, מה שמדגיש את הצורך במערכות זיהוי מתקדמות^יותר 10,11,12.

ההשערה שהמאמר הזה שואף לבדוק היא: זיהוי קריאות API חשודות לשיפור דיוק הסיווג של אפליקציות אנדרואיד שפירות וזדוניות. פיתוח ויישום מודל סיווג היברידי שמשלב מקודדים אוטומטיים עם רשתות עצביות מלאכותיות. גיבוש פונקציית מטרה לאופטימיזציה של אינטליגנציה של להקה, שמשפרת את תהליך הלמידה על ידי הכנסת עונשים להקל על גילוי פתרונות כמעט אופטימליים. בחינת מספר מדדי ביצועים ובחירת השיטה האופטימלית לחיזוי תוכנות זדוניות באנדרואיד.

עבודות קשורות

עלייה ניכרת בגיוון ובנפח תוכנות זדוניות נבעה מהשימוש הנרחב בפלטפורמת אנדרואיד, מה שגרם לחוקרים ליצור טכניקות יעילות לזיהוי ומניעה 13,14,15. באמצעות מחקר סטטיסטי, דקרד ורסולזאדגן¹⁶ טיפלו בבעיה של מערכי נתונים לא מאוזנים בזיהוי תוכנות זדוניות באנדרואיד. כדי לעבד מראש ולאזן את הנתונים, הם השתמשו בטכניקת דגימת יתר של מיעוטים סינתטית (SMOTE), בתת-דגימה ובטכניקות דירוג. באמצעות מסווגי KNN, SVM ואיטרטיבי דיכוטומייזר 3 (ID3), מודל הזיהוי שלהם הגיע לדיוק גבוה יותר של 98.69% כאשר גישת SMOTE שולבה עם מסווג KNN¹⁶.

השימוש בתדירות מונחים-תדירות הפוכה של מסמכים (TF-IDF) לזיהוי תוכנות זדוניות באנדרואיד נחקר על ידי פריה וויסלאקשי¹⁷ במחקר שונה. הם יצרו מדד הרשאות לדירוג ודירוג הרשאות, אשר סווגו לאחר מכן באמצעות רשתות עצביות מלאכותיות. שיטה זו עקפה את המערכות הקיימות עם דיוק של 94.22%. בנוסף, כדי לשפר את ביצועי סיווג תוכנות זדוניות באנדרואיד, המבוססת על רגרסיה ליניארית, פותחה שיטת בחירת תכונות על ידי Yildiz ואחרים^. השיטה שלהם קיצרה את זמן האימון והניבה עלייה של 96.1% בדיוק המשחק. כדי לשפר את הדיוק והיעילות בזיהוי תוכנות זדוניות באנדרואיד, מחקר זה מדגיש יחד את חשיבות ההתמודדות עם סוגיות כמו בחירת תכונות ומאגרי נתונים לא מאוזנים.

בחירת תכונות רקורסיבית (RFS) ומסווג אנסמבל שימשו במודל שהוצג על ידי Al Sarahh ואח^' לשיפור זיהוי תוכנות זדוניות באנדרואיד. בשיטה זו, אלגוריתם LightGBM משמש לסיווג התכונות הרלוונטיות ביותר ש-RFS זיהה. תוצאות הניסוי הראו שהמודל היה יעיל, עם דיוק סיווג של 99.5%. לגבי סיווג תוכנות זדוניות באנדרואיד, Ding ואחרים הציעו ^גם ארכיטקטורת למידה עמוקה המשתמשת ברשת עצבית קונבולוציונית (CNN). בתהליך, קבצי הבייט מופקים מ-APKים של אנדרואיד ומומרים למטריצות בייטקוד דו-ממדיות. מטריצות אלו משמשות לאימון מודל CNN, אשר בניסויים השיג שיעור דיוק של 95.1%. מחקר זה מדגיש כיצד ניתן לשלב מודלים של למידה עמוקה וטכניקות בחירת תכונות עם מסווגי אנסמבל כדי לשפר את הדיוק של מערכות זיהוי תוכנות זדוניות באנדרואיד.

באמצעות טכניקות למידה עמוקה, אליאן ומוסטפא²¹ התגברו על החסרונות של שיטות זיהוי תוכנות זדוניות קונבנציונליות במערכות אנדרואיד מעודכנות. הם עקפו את הטכניקות המסורתיות בכך שהשתמשו ביחידת Gated Recurrent Unit (GRU) להבחנה בין אפליקציות זדוניות לטובות, והשיגו דיוק של 98.2%. תהליך ההיררכיה האנליטית (AHP) שולב גם בטכניקה מבוססת סיכון לזיהוי וירוסים ניידים שהוצעה על ידי אריף ואח' ²². בנוסף לזיהוי תוכנות זדוניות, המערכת שלהם מעריכה רמות סיכון ומחלקת אותן לארבע קבוצות: נמוכות מאוד, נמוכות, בינוניות וגבוהות. עם טכניקה יסודית זו, הדיוק הכולל עמד על 90.54%. היעילות של שיטות למידת מכונה מתקדמות, כמו מסגרות AHP מטושטשות ומודלים מבוססי GRU, בשיפור הדיוק והעמידות של מערכות זיהוי תוכנות זדוניות באנדרואיד, מודגמת על ידי מחקרים אלו.

כדי להתגבר על החסרונות של גישות מבוססות חתימה, מרקאלדו וסנטון²³ השתמשו בטכניקות עיבוד אותות אודיו כדי להפיק מידע מספרי מקבצי הרצה של יישומים על ידי הפיכתם לקבצי אודיו. השיטה שלהם, שהשתמשה במסווג רשת עצבית, הניבה דיוק זיהוי של 95.2%. כדי להתגבר על הקשיים הכרוכים בהנדסת תכונות מייגעת^{, ז'אנג} ואח' הציגו את TC-Droid, מסגרת אוטומטית המשתמשת בטכניקות סיווג טקסט. עם שיעור דיוק של 96.6%, שיטה זו מנתחת רצפי טקסט מדוחות ניתוח יישומים באמצעות רשתות עצביות קונבולוציוניות.

עם דיוק של 93.4%, Imtiaz ואח^' הציגו את DeepAMD, טכניקה מבוססת רשת עצבית מלאכותית שנועדה לסיווג יעיל ולגילוי מוקדם של תוכנות זדוניות באנדרואיד. פירדאוס ואחרים, ²⁶ , יצרו טכניקת בחירת תכונות מבוססת חיפוש גנטי לניתוח סטטי בזיהוי תוכנות זדוניות באנדרואיד. עם שיעור דיוק של 95%, עצים פונקציונליים עלו על מסווגי למידת מכונה אחרים במבחנים. שיטת בחירת תכונות בשם Delta_IDF הוצגה על ידי פיינירצ'י ואחרים^. הוא מחשב ערכי תדר מסמך הפוך בהתבסס על הופעות מחרוזות בקבצי APK. בהשוואה לאלגוריתמים אחרים, הניסויים שלהם הניבו תוצאות מעודדות.

Shi ואחרים ²⁸ הציעו מסגרת היברידית של CNN-DNN שהראתה דיוק זיהוי גבוה על ידי שילוב חוזקות השכבות הקונבולוציוניות והצפופות לצורך חילוץ וסיווג תכונות. באופן דומה, שו ואח^' סיפקו סקר מקיף על שיטות זיהוי תוכנות זדוניות מבוססות CNN, והדגישו את חוזקתן בלכידת תלויות מרחביות בתוך רצפי API ו-opcode. בהקשר של האינטרנט של הדברים (IoT), Naeem ואחרים ^פיתחו מערכת משולבת של רשתות קונבולוציונליות עמוקות לסיווג תוכנות זדוניות, ששיפרו את החוסן בסביבות איום הטרוגניות של IoT. לאחרונה, Shu ו-Dong³¹ הציגו את LG-PN, גישה של מיזוג מקומי-גלובלי ברשתות אב-טיפוסיות, כדי לשפר את זיהוי תוכנות זדוניות לאנדרואיד שלא נראו קודם. למרות ששיטות אלו השיגו הצלחה ניכרת, הן מסתמכות בעיקר על ארכיטקטורות קונבולוציוניות עמוקות ודורשות משאבים חישוביים משמעותיים. לעומת זאת, העבודה הנוכחית משלבת אינטליגנציה של להקות עם בחירת תכונות מבוססות מקודד אוטומטי כדי להפחית ממדיות ולשפר יעילות, ובכך מספקת חלופה משלימה וקלה לפתרונות מבוססי CNN עמוקים.

מספר מחקרים קודמים התמקדו במיוחד בזיהוי תוכנות זדוניות מבוססות קריאות API לאנדרואיד, שכן רצפי API הם אינדיקטורים התנהגותיים חזקים לפעילות זדונית. לדוגמה, Karbab ואחרים ³² הציעו להשתמש בלמידה עמוקה על רצפים של קריאות מתודה ל-API כדי לזהות יישומים זדוניים, והראו כי דפוסים זמניים בשימוש ב-API יכולים להבחין ביעילות בין תוכנות זדוניות לאפליקציות תמימות. באופן דומה, מוזאפאר ואחרים ^העריכו מודלים שונים של למידת מכונה על תכונות קריאה ל-API והדגישו את חשיבות בחירת וייצוג תכונות בשיפור ביצועי הזיהוי. למרות שעבודות אלו מדגישות את השימושיות של תכונות ברמת API, רובן מסתמכות על מודלים של רצף עמוק או על הנדסת תכונות בעבודת יד, שיכולה להיות יקרה חישובית או פחות הכללה. לעומת זאת, מחקר זה עושה שימוש באלגוריתמים של אינטליגנציה נחורה בשילוב עם אוטואנקודרים כדי להפחית אוטומטית את ממדיות תכונות ה-API ואז משתמש במסווג עצבי מלאכותי היברידי לשיפור ביצועי הזיהוי. זה מציב את הגישה שלנו כאלטרנטיבה קלה אך יעילה שמתמודדת ישירות עם אתגרי נתוני קריאות API רב-ממדיים.

באמצעות שילוב רשתות עצביות מלאכותיות (ANNs), המתודולוגיה המוצעת במחקר זה שואפת לשפר את זיהוי וסיווג תוכנות זדוניות באנדרואיד. ראשית, מקודדים אוטומטיים משמשים בטכניקות בחירת תכונות מבוססות עטיפה כדי למצוא את המאפיינים החשובים ביותר שמבדילים אפליקציות מסוכנות מאלו שפירות. כדי להגדיל את יעילות סיווג תוכנות זדוניות באנדרואיד, נבדק מסווג עצבי מלאכותי ייחודי המשלב ANNs עם מסווגי אינדוקציה.

Protocol

שיטת בחירת תכונות מבוססת עטיפה באמצעות מקודדים אוטומטיים משמשת בארכיטקטורה המוצעת לזיהוי תוכנות זדוניות באנדרואיד, כפי שמוצג באיור 1. מערך הנתונים מחולק לתת-קבוצות אימון ובדיקות ביחס 70:30. סיווג ובחירת תכונות הם שני השלבים העיקריים בתהליך ניתוח תוכנות זדוניות.

בחירת מאפיינים (FS): שלב זה הוא חיפוש איטרטיבי אחר תתי-התכונות הטובות ביותר (ראו הגדרה 1) באמצעות אלגוריתמים מבוססי אינטליגנציה של להקה, במיוחד Cuckoo Search Optimization (CSO), Ant Lion Optimization (ALO) ו-Firefly Optimization (FO). לאחר מכן, מקודדים אוטומטיים מעבדים את התכונות שנבחרו כדי ליצור ייצוג דחוס של הנתונים הנכנסים. גישה אינדוקטיבית משתמשת לאחר מכן בפלט מהמקודדים האוטומטיים כדי להעריך עד כמה תכונות אלו מבדילות בין אפליקציות מסוכנות לטובות. כדי לאפשר סיווג מדויק של מקרים נוספים, אלגוריתם האינדוקציה בונה מסווג על ידי מיפוי מרחב התכונות לאוסף תוויות מחלקה.

סיווג: באמצעות מסווג עצבי מלאכותי מומלץ ושיטות אינדוקציה מוכרות, מערך התכונות המופחת משלב בחירת התכונות מוערך בשלב זה כדי לבדוק עד כמה הוא יכול לזהות תוכנות זדוניות באנדרואיד.

באמצעות גישות סיווג מתקדמות והתמקדות בתכונות המידע הרב ביותר, שיטה זו שואפת לשפר את הדיוק והיעילות של זיהוי תוכנות זדוניות באנדרואיד.

בחירת מאפיינים

שלב קריטי בלמידת מכונה הוא בחירת תכונות, הכוללת קביעת אילו תכונות הן האמינות ביותר, הרלוונטיות ביותר ולא מיותרות לבניית מודלים. הפחתת קבוצות תכונות באופן שיטתי הופכת לקריטית יותר ככל שמאגרי הנתונים ממשיכים לגדול בגודל ובמורכבות. המטרה העיקרית של בחירת תכונות היא למקסם את ביצועי המודל תוך הפחתת הוצאות חישוביות. תכונות חזרתיות ומיותרות מוסרות, מה שמאפשר לתהליך להתמקד במשתנים החשובים ביותר למודל. במקום להסתמך על אלגוריתם למידת המכונה לזיהוי תכונות משמעותיות, היתרונות הבאים של בחירת תכונות לפני אימון מודל:

מודלים מפושטים: הפחתת מספר משתני הקלט מובילה למודלים פשוטים יותר שקל יותר לפרש ולהבין.

הפחתת שונות: על ידי התמקדות בתכונות חיוניות, בחירת תכונות מסייעת להפחית שונות במודל, ובכך מפחיתה התאמת יתר ומגבירה את ההכללה לנתונים חדשים.

הפחתת זמן האימון: מערך תכונות קטן יותר מפחית את העומס החישובי, מה שמוביל לאימון והערכה מהירים יותר של המודלים.

הקלה על קללת הממדיות: נתונים בממדים גבוהים עלולים להוות אתגרים כמו מורכבות מוגברת והתאמת יתר; בחירת תכונות מתמודדת עם בעיות אלו על ידי הגבלת מרחב הפיצ'רים למשתנים המידעיים ביותר.

הגדרה 1 של בחירת תכונה

חשבו על אינדוקטור I ומערך נתונים D שיש לו התפלגות D על פני מרחב מופעים מתויג ומכיל תכונות (x_{1,x 2,x 3},... ,_{x n}). תת-הקבוצה של התכונות שממקדמות את דיוק המסווג C=I(D) נקראת תת-הקבוצה האופטימלית של התכונות X_opt.

בבחירת תכונות ללא פיקוח, גישות מבוססות עטיפה שואפות לזהות את השילוב האופטימלי של תכונות שמשפרות את ביצועי המודל. על ידי הוספה או הסרה שיטתית של תכונות, לעיתים באמצעות אלגוריתמים חמדניים, שיטות אלו מעריכות מודלים שונים כדי לבחור את התכונות המשפיעות ביותר לפיתוח המודלים. תהליך זה מתואר באיור 2.

לבחירת תכונות, אלגוריתמים של אינטליגנציה נחורה כמו Firefly Optimization (FO), Cuckoo Search Optimization (CSO) ו-Ant Lion Optimization (ALO) משמשים כדי להתעלות על טקטיקות חמדניות מסורתיות. פונקציית המטרה שנבחרה בשלב הערכת הכושר משפיעה משמעותית על יעילות האלגוריתמים הללו. גם כמות התכונות שנבחרו וגם טעות המודל בסוף כל איטרציה נלקחים בחשבון בהליך בחירת התכונות המבוסס על עטיפה איטרטיבית כדי להעריך את ההתאמה של התכונות שנבחרו. המשוואה (1) פורמליזציה של הערכה זו.

(1)

העונש של אלגוריתם הלמידה על טעויות שנעשו במהלך הערכת הכושר מיוצג על ידי τ במשוואה זו, כאשר τ ∈ [0,1]. אורך תת-הקבוצה הנבחרת מסומן על ידי המשתנה l, ומספר התכונות הכולל מיוצג על ידי המשתנה u.

מקודדים אוטומטיים

רשתות עצביות המתמחות בלמידת ייצוגים דחוסים של נתוני קלט נקראות מקודדים אוטומטיים. מקודד ומפענח הם שני החלקים העיקריים שלהם. בעוד המפענח מנסה לשחזר את הקלט המקורי מהצורה הדחוסה, המקודד מעבד את נתוני הקלט ודוחס אותם לייצוג מרחב סמוי. אימון מודלים של למידת מכונה הופך לקל יותר בזכות יכולתו של המקודד לחלץ תכונות חשובות מנתונים לא מעובדים לאחר האימון.

ארכיטקטורת האוטואנקודר המוצעת (כפי שמוצג באיור 3) כוללת מקודד המורכב משכבת קלט עם N צמתים, ואחריה שתי שכבות נסתרות המכילות N*2 ו-N צמתים, בהתאמה. ישנה שכבה נסתרת שנייה עם N/2 צמתים הנקראת המרחב החבוי. עם שתי שכבות נסתרות של [N, N*2], המפענח משכפל מבנה זה, ומסתיים בשכבת פלט של N צמתים.

כל שכבה מוסתרת מלווה בנרמול אצווה כדי להאיץ ולייצב את תהליך האימון, וכל השכבות משתמשות בפונקציית ההפעלה של LeakyReLU כדי להתמודד עם בעיות אפשריות של גרדיאנט ההיעלמות. משוואה (2) מספקת הגדרה מתמטית של פונקציית ההפעלה של LeakyReLU:

 (2)

כאשר h_θ(x), מתקבל באמצעות משוואה (3)

(3)

כאן, x_i=(x_{1,x 2},...,x_n) מייצג את ערכי הקלט לצמתים, בעוד w_i=(w_{1,w 2},...,w_n) מציין את המשקלים המשויכים לצמתים אלו. במהלך תהליך הלמידה, המשקלים מותאמים לאחר שהוקצו באקראי בטווח [0,1]. כדי למנוע מהפרמטרים לעבור דרך המקור, מוסיפים איבר הטיה בכל שכבה. משוואה (4) מגדירה את הסף, ואם התפוקה המתקבלת ממשוואה (3) עולה עליו, מופעל צומת אחד.

 (4)

אופטימיזציה לבחירת תכונות מבוססת עטיפת אריה נמלים (ALWFSO)

במודל התנהגות הטורפת הטבעית של נמלי האריה, אופטימייזר האריה הנמלים (ALO) הוצג לראשונה על ידי סייד עלי מירג'לילי^{בן 34}. אלגוריתם אופטימיזציה זה מזהה ביעילות פתרונות אופטימליים ללא קשר לערכי הפרמטרים ההתחלתיים. ALO מציג התכנסות מהירה ומנהל ביעילות הן את המגבלות השלמות והן האילוצים הבדידים. לכידת טרף, יצירת מלכודת, לכידת נמלים, תנועות אקראיות של נמלים ותיקון מלכודות הם השלבים שמרכיבים את תהליך הציד ב-ALO.

בהקשר של אלגוריתם Ant Lion Optimizer (ALO), נמלים מייצגות פתרונות מועמדים המבצעים חיפושים אקראיים במרחב התמיסות, בעוד שהנמלים מייצגות את המלכודות או המדריכים המשפיעים על תנועות הנמלים בהתבסס על ערכי התאמה. האוכלוסייה הכפולה הזו מדמה את ההתנהגות הטורפת הטבעית של נמלים שתופסות נמלים. בהתחלה, אוכלוסיות הנמלים והאנטיליונים מאותחלות באקראי. האנטליונים נבחרים לכל נמלה באמצעות מנגנון בחירת גלגל הרולטה, ואחריו תהליך הליכה אקראי (כפי שמוצג באלגוריתם-1). משוואה (5) מתארת כיצד ההליכה הזו מנורמלת.

 (5)

בהתחלה, אוכלוסיות נמלים ונמלי אריות נוצרות באקראי. נמלה נבחרת לכל נמלה באמצעות מנגנון גלגל רולטה, מה שמאפשר הליכה אקראית שמנורמלת באמצעות נוסחאות שנקבעו מראש. תהליך זה מבטיח שתנועות הנמלים מושפעות ממיקום הנמלים, ובכך מדמה ביעילות את תהליך הציד הטבעי. מיקום כל נמלה מתעדכן בהתאם לאינטראקציה זו, ומכוון את החיפוש לפתרונות מיטביים.

בזכות הארכיטקטורה שלו, אלגוריתם ה-ALO יכול לעבור ביעילות בין מרחבי חיפוש מורכבים, מה שהופך אותו לכלי עוצמתי לפתרון מגוון בעיות אופטימיזציה. הכושר של כל נמלה מוערך בסיום כל חזרה. כפי שמוצג באלגוריתם-1, הנמלה מוחלפת בנמלה אם הנמלה מתאימה יותר מהמקבילה שלה. במקרה זה , מציין את^{מיקום הנמלה} ה-i באיטרציה t; I הוא יחס; מציין את מיקום הנמלת j^th באיטרציה T; הוא האליטה להליכה האקראית באיטרציה t, שנבחרת על ידי גלגל הרולטה; והוא ההליכה האקראית של הנמלים באריה באיטרציה t, שגם היא נקבעת על ידי גלגל הרולטה. לאחר סיום כל מחזור, הפתרון האופטימלי הגלובלי, המאושר על ידי מסווג העטיפה המשולב, מוחזר.

אלגוריתם 1: ALWFSO
הגדר פונקציית מטרה: f(x):x=(x_{1,x 2},...,_{x d})
אתחול מושבת הנמלים והאנטיליונים באקראי
חישוב כושר של נמלים ונמלי אריות
בחר את הנמלים הטובים ביותר והנח שהם עילית.
חזור על זה עד שתנאי הסיום מתקיים או f(x):x=(x_{1,x 2},...,x_d)
לכל בחירת נמלה-נמלה: השתמש במנגנון בחירת גלגל רולטה כדי לבחור באופן הסתברותי נמלת אריה שתשפיע על תנועת הנמלה
X(t) = [0,cum_sum(2r(t₁) - 1),cum_sum(2r(t₂) - 1),...,cum_sum(2r(t_n)-1)]


סוף לולאת הנמלים
הערכת כושר: חישוב מחדש את ערכי הכושר של כל הנמלים בהתבסס על מיקומן החדש.
החליפו את הנמלים בנמלים אם הנמלים מראות כושר מעולה
אם נמלה מתרככת מתאימה, אז

סיום בזמן

אופטימיזציה של בחירת תכונות מבוססת עטיפת חיפוש Cuckoo (CSWFSO)

בהשראת התנהגות הטפיל של כמה מיני קוקיות, שמניחים את ביציהם בקנים של ציפורים אחרות, שין-שה יאנג וסוסה דב³⁵ יצרו את אלגוריתם חיפוש הקוקייה בשנת 2009. בתהליך זה, כל קוקייה מטילה ביצה בקן שנבחר באקראי. הדורות הבאים יירשו קינים עם הביצים הטובות ביותר. ההסתברות שציפור מארחת תבחין בביצה חייזרית היא 0, ויש רק מספר מוגבל של קיני פונדקאי זמינים.

אלגוריתם 2: CSWFSO

הגדר פונקציית מטרה: f(x):x = (x_{1,x 2},...,x_d)
נוצר באקראי אוכלוסייה התחלתית של n קינים מארחים, שכל אחד מהם תואם לפתרון מועמד x_i (i=1,2,3,...,n)
חזור על כך עד שתנאי העצירה מתקיים או (tעבור קוקייה שנבחר באקראי i, מייצר פתרון מועמד חדש באמצעות טיסת לוי

חשב את ההתאמה של הפתרון החדש F_i [למקסום, F_i α f(x_i)]
בחר באקראי קן מארח j מתוך האוכלוסייה n
אם (F_i >F_j) אז j מוחלף בפתרון חדש
סוף אם
נטוש חלק מהרשתות הגרועות ביותר ב-(p_a) שבר
קנים חדשים נבנים ב-split נטוש (p_a) באמצעות
הניחו בצד את הפתרונות או הקנים הטובים ביותר.
על ידי דירוגם, בחר את הקן או הפתרון הטוב ביותר הזמין כרגע.
הדור הבא יורש את הפתרון הטוב ביותר הזמין כיום.
סיום בזמן

בהתחלה, כל הקנים מאותחלים באקראי. ככל שהאיטרציות מתקדמות, כל קוקייה משנה את מיקומה במרחב הפתרונות באמצעות טיסות לוי, כפי שמתואר באלגוריתם 2. גודל הצעד מותאם על ידי ∝, ופעולת סיגמואיד ממירה את הערכים הרציפים שנוצרים על ידי Cuckoo Search Optimization (CSO) לפורמט בינארי, כפי שמוצג במשוואות (6) ו-(7).

(6)

(7)

כפי שמוצג באלגוריתם 2, כאשר ו- הם קינים שנבחרו באקראי ו-δ ∈ [0,1], בסוף כל איטרציה, חלק מהקינים ננטשים ומתרעננים עם פתרונות מועמדים חדשים.

בהשראת הטפיל של ציפור הקוקייה, האלגוריתם Cuckoo Search Optimization (CSO) הוכיח את עצמו ככלי שימושי למשימות בחירת תכונות³⁵. הטכניקה מתחילה באתחול אוכלוסיית קינים, שכל אחד מהם מייצג פתרון אפשרי בהקשר של בחירת תכונות CSO מבוססות מעטפת. פונקציית מטרה מוגדרת מראש משמשת להערכת כושר הקנים. באמצעות הערכות כשירות, האלגוריתם קובע את הפתרון האופטימלי—המכונה הטוב ביותר הגלובלי—בכל איטרציה. כדי לחקור טוב יותר את מרחב הפתרון, חלק מהקן, המיוצג על ידי אפונה, מוסר ומוחלף בחדשים בהתאם לפרוטוקול CSO. מסווג העטיפה המוטמעת מאשר שהאלגוריתם נותן את התשובה האופטימלית הגלובלית לאחר סיום כל האיטרציות.

אופטימיזציה לבחירת תכונות מבוססת Firefly wrapper (FWFSO)

אלגוריתם 3: FWFSO
הגדר את פונקציית המטרה: f(x):x = (x_{1,x 2},...,_{x d})
נוצר נחיל התחלתי של n גחליליות, שכל אחת מייצגת פתרון x_i (i = 1,2,3,...,n)
קבעו את עוצמת האור I של כל גחלילית בהתבסס על ערך פונקציית המטרה
הגדר מקדם ספיגת אור γ
חזור על זה עד שתנאי ההפסקה מתקיים או (t < MaxGeneration)
לכל גחלילית i (∀ i=1,2,3,... ,n)
לכל גחלילית j (∀ j=1,2,3,... ,i)
קבל עוצמות אור של I_i ו-I_j
אם_אני < I_j אז

     
אחרת
הזז אקראית את הגחלילית כדי לחקור את מרחב החיפוש
סוף אם
האטרקטיביות פוחתת עם המרחק כאשר
העריכו את התמיסה המעודכנת והתאימו את עוצמת הגחלילית בהתאם
סוף עבור
סוף עבור
דירגו את הגחליליות לפי עוצמת האור שלהם וזהו את זו עם הבהירות הגבוהה ביותר כפתרון הטוב ביותר כיום

אלגוריתם אופטימיזציה של גחליליות, שהוצג על ידי ג'ורג' לינדפילד וג'ון פני³⁶, מחקה את ההתנהגות הטבעית של גחליליות כדי למשוך אחרים. באלגוריתם זה, המשיכה של גחלילית פרופורציונלית ישירות לבהירותה, בעוד שהמרחק בין שני גחליליות פרופורציונלי הפוך לאטרקטיביותם. אם אין גחליליות בהירות בקרבת מקום, גחלילית תזוז באקראי.

שני גחליליות נמשכות זה לזה לפי הבהירות שלהן; גחלילית פחות בהירה תימשך לאחת בהירה יותר. תנועה אקראית משמשת כאשר אין גחלילית בהירה יותר. כאשר_{β 0} מציין יופי, המרחק r=0 בין שני גחליליות משמש לחישוב המשיכה שלהם. ההפרדה של_{r jk} בין גחליליות j ו-k מחושבת כך: כאן, r_ji ו-r_ki מציינים את הרכיבים המרחביים^{של הממד} i עבור גחליליות j^th ו-k^th, בהתאמה, ו-n מייצג את מספר הממדים. התנועה של גחלילית לעבר גחלילית אחרת נקבעת על ידי מידת המשיכה ביניהם: . במשוואה זו, r_j המיקום הנוכחי של גחלילית j, γ הוא האור. רנארד הוא מספר אקראי בין 0 ל-1, α קצב המוטציה ומקדם הבליעה. אם לא יהיו עוד גחליליות מבריקות, הגחלילית תזוז באקראי לפי αα. לאחר כל איטרציה, מסווג העטיפה המשובץ מאשר את הפתרון המינימלי הגלובלי, שמוחזר לאחר מכן.

מסווג

ניתן לסווג גם מערכי נתונים מובנים וגם לא מובנים על ידי חלוקתם לקבוצות או מחלקות נפרדות. המטרה היא להשתמש בתכונות של נקודות נתונים חדשות כדי לחזות את המחלקה או התווית שלהן. הליך זה קובע את הקטגוריה אליה שייכים נתונים חדשים על ידי קירוב פונקציית מיפוי ממשתני קלט למשתני פלט בדידים.

יערות אקראיים, עצי החלטות, שכנים K-הכי קרובים, רגרסיה לוגיסטית ומכונות וקטוריות תמיכה הם בין אלגוריתמי האינדוקציה או הסיווג המשמשים להערכת פתרון זיהוי תוכנות זדוניות מוצעות של אנדרואיד³⁷. בנוסף, עבודה זו מציגה את מסווג העצבים המלאכותי, מסווג היברידי מהפכני המשלב אלגוריתמים אינדוקציה קונבנציונליים עם רשתות עצביות מלאכותיות.

מסווג עצבי מלאכותי

העיצוב המוצע למסווג עצבי מלאכותי (ANC) משלב מסווג אינדוקציה ורשתות עצביות מלאכותיות (ANN), כפי שנראה באיור 4. לפי ארכיטקטורה זו, ה-ANN נלמד לזהות דפוסים ומתאמים בין תכונות הקלט. מסווג האינדוקציה משתמש במידע ש-ANN למדה כדי לשפר את הדיוק בזיהוי תוכנה זדונית מתוכנה בטוחה.

לאחר בדיקות נרחבות, ה-ANN בתוך ה-ANC הוגדר עם שלוש שכבות נסתרות מחוברות במלואן, כל אחת עם M צמתים, ואחרי שכבת קלט עם N צמתים. ישנה שכבת פלט שמחוברת למסווג האינדוקציה לאחר שכבה נסתרת מחוברת במלואה עם צמתים M/2. משוואה (8) קובעת את מספר הצמתים בשכבות הנסתרות:

(8)

כאשר M מציין את מספר הצמתים בשכבה נסתרת, N מייצג את מספר תכונות הקלט, ו-α הוא פרמטר שנע בין 2 ל-10. פונקציית ההפעלה (כפי שמוצג במשוואה (9)) ממלאת תפקיד מרכזי בקביעת האם נוירון מופעל, בכפוף לכך שהפלט יעלה על סף מוגדר.

(9)

כאן, h_θ(x) מחושב לפי משוואה (3). ה-ANC משתמש באופטימיזציה של אדם כדי להתאים את משקלי הרשת וקצבי הלמידה. באדם, קצב הדעיכה של הערכת המומנט הראשון וההערכה השנייה עבור כל משקל ω_ij מסומנים ב-β₁ ו-β₂, בהתאמה. יהי N מייצג את קצב הלמידה. כללי העדכון של אדם מוצגים במשוואות (10) ו-(11):

(10)

(11)

הערכות המומנט הראשון והשני המתוקנות בהטיה, ו -, מחושבות באמצעות משוואות (12) ו-(13):

(12)

(13)

חישובים אלו מבטיחים שהאופטימייזר שומר על קצבי למידה מתאימים לכל משקל, מה שמקל על אימון יעיל ואפקטיבי של ה-ANC.

כלל עדכון המשקל לכל חיבור ברשת העצבית מוגדר על ידי משוואה (14):

(14)

לאחר עדכון משקלי הרשת הנוירונים, הביצועים מוערכים באמצעות פונקציית אובדן שמודדת את הפער בין התוצרים החזויים לאמיתיים. במודל זה, השגיאה הממוצעת המוחלטת (MAE), כפי שהוגדרה במשוואה (15), משמשת למטרה זו:

(15)

בהקשר זה, y_i מייצג את התפוקה בפועל, מציין את התפוקה החזויה, ו-n הוא המספר הכולל של מופעי הפלט. לאחר שהרשת העצבית עברה אימון על פני מספר מוגדר של תקופות, הייצוגים שנלמדו ממרחב התכונות מועברים למסווג האינדוקציה כדי להבחין בין תוכנות זדוניות לתוכנה תמימה.

מסווג עצבי מלאכותי (ANC) המוצע פועל כמסגרת היברידית המשלבת את יכולות למידת התכונות של רשת עצבית מלאכותית (ANN) עם חוזקות קבלת ההחלטות של מסווגי אינדוקציה מסורתיים, כגון יער אקראי ועץ החלטות. בעיצוב זה, ה-ANN מעבד תחילה את התכונות שנבחרו מה-autoencoder כדי ללמוד דפוסים מורכבים וקורלציות בין תכונות קלט. הייצוגים המתקבלים שנלמדים מועברים אז למסווג האינדוקציה, שמבצע את הסיווג הסופי של יישומי אנדרואיד כלא מזיקים או מזיקים. בדרך זו, ה-ANC משמש כעטיפה, ומחזק את המסווגים המסורתיים עם הטמעות תכונות עמוקות תוך שמירה על יכולת הפרשנות שלהם. מנגנון היברידי זה מאפשר ל-ANC לנצל הן הפשטת תכונות ברמה גבוהה מה-ANN והן קבלת החלטות חזקה ממסווגי למידת מכונה מוכרים, מה שמוביל לשיפור דיוק הגילוי וההכללה.

סידור ניסיוני

מערכת הפעלה Windows 10 בגודל 64 ביט, עם מעבד i5 - 2.30 GHz, 8GB זיכרון RAM וכונן קשיח בנפח 2TB, שימשה בהתקנה הניסיונית. פייתון 3.7 שימשה כשפת התכנות, ופלטפורמת Jupyter הוקמה כדי לאפשר חבילות למידת מכונה ולמידה עמוקה.

ה-IEEE Dataport סיפק את נתוני רצף הקריאות של ה-API של הניסוי, שכללו 43,876 רצפים - מתוכם 42,797 סווגו כתוכנות זדוניות ו-1,079 כ-goodware. Virus Total שימשה לאימות, וסביבת Cuckoo Sandbox שימשה לאיסוף נתונים. טבלה 1 מספקת הסבר מקיף על רצפי הקריאות של ה-API.

Results

מספר מדדי ביצועים, כגון ממוצע ריבוע שגיאה (MSE), שורש ממוצע ריבוע שגיאה (RMSE), דיוק, שחזור, ציון F1 ודיוק, משמשים במערכת המוצעת לזיהוי תוכנות זדוניות לאנדרואיד להערכת דיוק הסיווג. להלן הגדרה של מדדים אלו.

Discussion

איומי תוכנות זדוניות באנדרואיד גוברים, כאשר היריבים משתמשים בטכניקות התחמקות מתוחכמות יותר ויותר. מערכות ויישומים ניידים מבוססי אנדרואיד ממלאים תפקיד מרכזי בערים חכמות ובסביבות תעשייתיות. הבטחת אבטחת מערכות אלו, במיוחד בתחומים קריטיים כאלה, מחייבת מנגנוני זיהוי זדוניים חזקים. לאחרונה, מחקר בזיהוי תוכנות זדוניות מבוסס למידת מכונה זכה לתשומת לב רבה¹⁸. עם זאת, שיטות רבות קיימות מסתמכות על הנדסת תכונות¹⁷, תהליך עתיר עבודה שדורש ניתוח ובחירת תכו...

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
אנקונדה נווט	אנקונדה, בע"מ.	נווט-2023
גוגל קולאב	גוגל LLC	לא זמין
מחברת יופיטר	פרויקט יופיטר	לא זמין
פייתון	קרן התוכנה של פייתון	>=3.9
פייטורץ'	מחקר בינה מלאכותית של פייסבוק	>=2.0
Scikit-learn	מונעת קהילה	>=1.0
TensorFlow	מוח גוגל	>=2.8
מערכת ההפעלה Windows	מיקרוסופט קורפוריישן	11