Android应用漏洞分析及安全性评估技术研究

摘要

近年来，移动设备与人们日常生活的联系日益紧密，然而Android应用软件(App)却安全漏洞频发，仅仅识别典型恶意应用已经难以满足当前形势下的安全需求，越来越多的应用存在暴露用户隐私信息、威胁用户财产安全等问题。由于Android应用版本更新频繁，对应用的评估相对滞后，并且现有评估技术对攻防收益和漏洞可利用性缺乏考虑。为此，本文针对Android应用漏洞，研究了分类检测、未来版本漏洞预测以及多阶段攻防博弈环境下的安全性评估等3个层次的问题。
　　首先提出了Android应用漏洞一种新的分类方法——LSA分类法。将漏洞分为3层4类，共计16个类型，通过Z表示法对LSA分类法进行了形式化描述与科学性验证。与已有的基于系统架构和基于经验的一些分类方法相比，LSA分类法在严谨性、针对性、可扩展性等方面都更具有优势，能够满足Android应用安全评估的需求。
　　接着，对Android应用漏洞静态检测技术进行了研究。更进一步地，运用Logistic回归算法对漏洞预测进行了探索，实验结果表明了该方法能够在一定程度上预报Android应用未来版本的漏洞情况。
　　针对现有评估技术中对攻防收益和漏洞可利用性考虑不足的问题，提出了多阶段攻防博弈环境下的Android应用安全评估模型。给出了多阶段攻防中最优防御策略的计算方法和未来遭遇安全风险概率的计算方法。结合未来版本漏洞预测和攻防博弈安全评估的结果，能够对应用的未来安全风险做出预测。
　　最后，实现了基于以上理论模型的Android应用安全评估原型系统。介绍了系统的开发环境和开发细节，展示了系统的运行效果。本系统能够为Android应用使用者挑选安全应用、应用开发者进行安全开发、应用市场管理者剔除不良应用提供帮助。

目录

声明

摘要

第1章绪论

1．1研究背景与研究意义

1．1．1研究背景

1．1．2研究意义

1．2研究现状

1．2．1国内外研究现状

1．2．2现有研究的不足

1．3论文工作和论文结构

1．3．1论文工作

1．3．2论文结构

第2章Android应用漏洞分类方法研究

2．1相关研究

2．1．1基于系统架构的Android漏洞分类方法

2．1．2基于漏洞库的Android漏洞分类方法

2．1．3基于威胁类型的Android漏洞分类方法

2．1．4基于威胁程度的Android漏洞分类方法

2．1．5基于经验的Android漏洞分类方法

2．2基于APP分层结构的Android应用漏洞分类方法

2．2．1 LSA分类法

2．2．2分类法形式化描述与验证

2．2．3相关工作比较

2．3本章小结

第3章Android应用漏洞分析

3．1 Android应用漏洞检测

3．1．1相关研究

3．1．2漏洞详情与检测方法

3．2 Android应用漏洞预测

3．2．1相关研究

3．2．2基于Logistic回归的漏洞预测方法设计

3．2．3实验及结果分析

3．4本章小结

第4章多阶段攻防博弈中的Android应用安全评估模型

4．1相关研究

4．1．1常见Android应用安全评估平台分析对比

4．1．2 Android应用安全评估技术研究现状

4．1．3现有评估技术存在的问题

4．2信息安全攻防博弈模型

4．2．1博弈论简介

4．2．2不完全信息动态攻防博弈

4．3基于ADG-SI的Android应用安全评估模型

4．3．1模型定义

4．3．2精炼贝叶斯纳什均衡解求解

4．3．3基于ADG-SI的Android应用安全风险概率计算

4．4本章小结

第5章Android应用安全评估原型系统

5．1原型系统设计

5．2原型系统功能实现

5．2．1系统开发环境

5．2．2预处理模块

5．2．3安全分析模块

5．2．4安全评估模块

5．2．5评估结果处理模块

5．3原型系统运行效果

5．4本章小结

第6章总结与展望

参考文献

在读期间发表的论文及相关成果

致谢