Đặt vấn đề e Phần mềm độc hại thường sử dụng các chiến thuật ngụy trang dé che giấu bản chất thực sự của chúng và tránh bị phát hiện. Mã độc có thể được nhúng vào trong các ứng dụng giả mạo hoặc ngụy trang thành ứng dụng hữu ích và phố Š https://securelist.com/it-threat-evolution-q 1-2023-mobile-statistics/109893/ 20 biến để người dùng tải về. Mã độc có thể được thiết kế dé phát hiện khi nó đang chạy trên môi trường kiêm thử hoặc trong quá trình phân tích động. Phần mềm độc hại thường tập trung vào việc gây tôn that tài chính, đánh cắp thông tin cá nhân, hoặc thậm chí kiểm soát và tận dụng các thiết bị mà chúng xâm nhập.
Việc phân tích mã độc từ mã nguồn bằng phương pháp thủ công có thé rất khó đối với đa số người dùng, đặc biệt là những người không có kinh nghiệm chuyên sâu về bảo mật và lập trình, việc này có thé là một thách thức đặc biệt. Người dùng cần công cụ phát hiện, cảnh báo phần mềm độc hại. Công cụ phải mạnh mẽ và nhẹ nhàng, thực hiện phân loại các tập tin trước khi chúng được cài đặt. Công cụ cần phải có hiệu suất tốt mà không làm giảm tốc độ hoạt động của hệ thống quá mức.
Điều này đặc biệt quan trọng dé đảm bao trải nghiệm người dùng không bi ảnh hưởng đáng ké. Việc phân loại tập tin trước khi chúng được cài đặt là một bước quan trọng dé ngăn chan người dùng từ việc tải về và cài đặt các tập n có khả năng chứa mã độc. Công cụ nên tích hợp các công nghệ bảo mật hiện đại như máy học để có khả năng phát hiện và phòng ngừa mối đe đọa phức tạp. Phát biểu bài toán cần giải quyết Từ những vấn đề trên đặt bài toán cần giải quyết: Phân loại mã độc Android từ tập tin cài đặt (APK) sử dụng mô hình học máy.
Đầu vào: Tập tin cài đặt ứng dụng Android (APK) Đầu ra: Kết quả tập tin thuộc về loại nào (mã độc hay lành tính). Ràng buộc đữ liệu: Các đặc tính được trích xuất từ tập tin cai đặt: quyền, lời gọi hàm và thư viện, vector đầu vào dưới dạng tập CSV. Các mã độc được phân thuộc một loại duy nhất. Trong phạm vi bài nghiên cứu này, chúng tôi đưa ra giải pháp dùng học máy phân loại phần mềm dựa trên trích xuất dữ liệu quyên, lời gọi hàm và thư viện.
Sau khi nghiên cứu va phân tích sâu vê các trích xuat dtr liệu trên, luận văn sẽ giúp hiêu rõ hơn về các loại mã độc Android, nghiên cứu và tìm hiêu các mô hình phát hiện mã 21 độc thông qua quyên, lời gọi hàm và thư viện. Sau đó kiểm thử với các mô hình LR, RF, SVM, KNN, MLP, DT.6 Tinh mới của của luận văn Luận văn áp dụng học máy và học sâu vào nghiên cứu phân loại mã độc Androd, dé xuất phương pháp lay dữ liệu từ các tập tin ứng dụng APK mã độc và lành tính, kế thừa công cụ AndroPyTool rút trích dữ liệu quyền và lời gọi hàm, kết hợp thực hiện code python để rút trích đặc trưng thư viện dùng cho các mô hình huấn luyện Logistic Regression, Random Forest, Support Vector Machine, K-Nearest Neighbors, Multi-layer Perceptron, Decision Tree dé phân loại mã độc. Luận văn này tập trung vào việc phan loại các mẫu mã độc loại mã độc, điều này là rất quan trọng đo tính linh hoạt và thay đổi của các mẫu mã độc. Mặc dù chúng có thê thay déi dé tránh bị phát hiện, nhưng những đặc tính về quyên, lời gọi hàm và thư viện mà phần mềm sử dụng mang đặc tinh chung, ít thay đồi, việc này giúp nâng cao khả năng phát hiện và phân loại hiệu quả, đặc biệt là khi mẫu mã độc có sự biên đôi.
22 Chương 2 LÝ THUYÉT HỌC MAY, MOT SO BÀI BAO NGHIÊN CỨU VÀ CÔNG TRÌNH LIÊN QUAN Nội dung tóm tắt trong chương này bao gồm giới thiệu về học máy, thuật toán áp dụng vào phân loại mã độc Android. Một số bài báo liên quan cũng được trình bày trong chương này.1 Lý thuyết học máy Quy trình học máy thường gồm các giai đoạn: Thu thập đặc trưng từ nguồn: Thu thập những dữ liệu có khả năng liên quan đến vấn dé cần giải quyết. Dữ liệu có thé được thu thập từ nguồn bên ngoài hoặc từ dữ liệu có sẵn. Thực hiện xử lý bộ dữ liệu đầu vào trước khi thực hiện huấn luyện: Ban đầu dữ liệu trích xuất được thường không hoàn hảo, cần phải được xử lý trước.
Bước này cần thực hiện việc loại bỏ dữ liệu thiếu thông tin, gây nhiễu, và mã hóa các đặc trưng. Tạo mô hình huấn luyện: Chọn mô hình giải quyết phù hợp một van đề, CNN, DT hoặc các mô hình nào đó tùy thuộc vào vấn đề cụ thể. Lựa chọn mô hình cũng phụ thuộc vào kích thước của dữ liệu, tính đa dạng của đặc trưng, va nhiều yếu tô khác. Thường thì việc thử nghiệm và so sánh nhiều mô hình nhằm xác định cái tốt nhất cho vấn đề của chúng ta là cách tiếp cận giải quyết vần đề tốt nhất.
Mô hình sử dụng dữ liệu huấn luyện được xử lý trước, tiếp theo thực hiện huấn luyện, mô hình học và tìm hiểu các mối quan hệ của dữ liệu. Đánh giá mô hình: Sử dụng dữ liệu kiểm tra hoặc dữ liệu chưa được nhìn thấy trước đó dé đánh giá độ hiệu qua làm việc của mô hình. Độ đo phô biến bao gồm đường cong ROC, độ chính xác, F1-score va recall. Tinh chỉnh mô hình: Dựa vào kết quả đánh giá, điều chỉnh mô hình đề tăng hiệu suất.
Điều chỉnh có thể bao gồm thay đôi tham số, đặc trưng hoặc kiến trúc mô hình. 23 e_ Mô hình được chỉnh sửa, khi đã đạt được hiệu suất mong muốn, sau đó thực hiện trong môi trường thực tế, sử dụng trong các ứng dụng thực tế. © Quy trình học máy có thé lặp đi lặp lại nhiều lần dé cải thiện mô hình và hiệu suất dự đoán. Trí thông minh nhân tạo Trí tuệ nhân tạo (AI) là lĩnh vực nghiên cứu, phát triển công nghệ có khả năng mô phỏng, mô hình hóa và tái tạo trí tuệ con người qua các hệ thống thiết bị máy móc.
Mục tiêu là tạo ra những công cụ thực hiện các công việc của con người một cách thông minh. Học máy HGS HGS (SL) là một phương pháp trong lĩnh vực hoc máy, giải thuật được huấn luyện từ tập dữ liệu đầu vào có gan nhan(labeled data). Trong lĩnh vực HGS, thông tin đầu ra mong muốn cho tung mau đữ liệu va mục tiêu là tạo ra một mô hình hoặc hàm giả thuyết (hypothesis) nhăm dự đoán đầu ra khi có mẫu dữ liệu mới. Quá trình huấn luyện trong lĩnh vực HGS bao gồm việc tìm kiếm, điều chỉnh các tham số cho phù hợp, sao cho kết quả dự đoán của mô hình gần với thực tế.
Các thuật toán phổ biến trong HGS bao gồm giải thuật hồi quy tuyến tinh(linear regression) và giải thuật phân loại (classification). Vi dụ, lĩnh vực HGS dùng một tập dữ liệu dùng huấn luyện gồm các email được gán nhãn "spam" hoặc "không spam" dé phân loại email vào hai loại: "spam" và "không spam". Thuật toán sẽ tạo mô hình đủ khả năng phân loại các email mới vào các lớp tương ứng bang cách học từ những đặc điểm mỗi email như địa chỉ nguồn, từ khóa, độ dài, địa chỉ đến. HGS đòi hỏi tập dữ liệu dé huấn luyện mô hình có nhãn và quá trình thực hiện huấn luyện dựa trên việc so sánh nhãn dự đoán và nhãn thực tế.
Tuy nhiên, HGS có thê đối mặt với các thách thức như overfitting (quá khớp) hoặc bias (thiên hướng) khi mô hình không đủ phức tạp hoặc quá phức tap so với dir liệu. Học máy HKGS HKGS (USL) là một phương pháp trong lĩnh vực học máy, trong đó thuật toán được huấn luyện từ một tập dữ liệu đầu vào không có nhãn (unlabeled data). Trong HKGS, 24 chúng ta không có thông tin đầu ra mong muốn và mục tiêu là khám phá cấu trúc, mô hình hoặc các mẫu ân trong tập dữ liệu. Quá trình huấn luyện trong HKGS liên quan đến việc tìm kiếm sự tương tự hoặc sự khác biệt giữa các mau dé liệu, phan nhóm các mẫu đữ liệu tương đồng, hoặc khám phá các thuộc tính và mỗi quan hệ trong dữ liệu mà không có sự hướng dẫn từ nhãn.
Các giải thuật phô biến trong HKGS bao gồm phân cum (clustering), phân phối (density estimation), và giảm chiều dữ liệu (dimensionality reduction). Bài toán phân cum dữ liệu, HKGS sé sử dung các thuật toán như K-means hoặc DBSCAN dé phân nhóm các mẫu dữ liệu dựa vào sự tương đồng giữa chúng. Mục tiêu là tìm ra các nhóm tự nhiên hoặc cụm trong tập dữ liệu mà không cần biết trước nhãn của từng mẫu. HKGS có thé làm việc với các dạng dữ liệu không cấu trúc, không có sự chuan bị trước và không yêu cầu nhãn.
Tuy nhiên, việc đánh giá và đạt được sự chính xác trong HKGS thường khó hơn so với lĩnh vực HGS, vì không có sự so sánh trực tiếp với nhãn. Học máy HBGS HBGS (SSL) là cách kết hợp lĩnh vực HGS và lĩnh vực HKGS trong học máy. Trong HBGS, chúng ta gán nhãn đữ liệu một phần nhỏ(labeled data) và không được gán nhãn (unlabeled data). Mục tiêu của HBGS là dùng cả dữ liệu được gan nhãn và không được gan nhãn dé phat triển mô hình học va dự đoán nhãn cho mẫu dé liệu chưa được gán nhãn.
HBGS giúp cải thiện kết quả dự đoán của mô hình và độ chính xác của mô hình bằng việc gán nhãn dữ liệu. Trong HBGS, các phương pháp thường sử dụng các thuật toán HGS dé huấn luyện trên dữ liệu được gán nhãn, tiếp theo dùng các giải thuật HKGS để tận dụng thông tin từ dữ liệu không được gan nhãn và dự đoán trên dữ liệu chưa được gan nhãn. HBGS được dùng trong nhiều bài toán thực tế khi việc gán nhãn dữ liệu là tốn kém hoặc mat công. Ví dụ, trong van đề phát hiện rác thư điện tử, chúng ta có thé sử dụng một phần email được gan nhãn là rác và một số email không gán nhãn dé tạo ra mô hình phân loại rác thư điện tử.
Một số giải thuật máy học 2. Giải thuật hồi quy logistic Phương pháp Hồi quy Logistic (LR) là giải thuật thuộc máy học dùng chủ yếu thực hiện phân loại. LR được dùng khi ta muốn tìm xác suất của một mẫu nào đó bat kỳ thuộc vào nhóm nhất định nào đó trong các nhóm phân loại có sẵn. Nó thích hợp cho giải quyết van đề thuộc phân loại kiểu nhị phân hoặc đa nhãn (có nhiều hơn hai nhãn).