Hibrit analiz yöntemlerini kullanarak makine öğrenmesi yardımıyla android kötücül yazılımların tespit edilmesi
Detection of android malware with the help of machine learning using hybrid analysis methods
Yazar: ABDURAHMAN AYDIN
Danışman: DR. ÖĞR. ÜYESİ İBRAHİM ALPER DOĞRU
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgi Güvenliği Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2019
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Günümüzde, insanların bilgiye erişimini ve haberleşmesini kolaylaştıran akıllı mobil cihazlar, insan yaşamının önemli bir parçası haline gelmiştir. Yapılan istatistiklere göre dünya çapında en yaygın kullanılan mobil işletim sistemi Android'dir. Android cihazların büyük bir pazar payına sahip olması ve kötücül yazılımların dağıtımının kolay olması, Android'i kötücül yazılım geliştiricilerin hedefi haline getirmektedir. Uygulama marketleri üzerindeki kötücül uygulama sayısının fazla olmasının sebebi, yüklenen uygulamaların yeterli bir güvenlik taramasına tabi tutulmamasıdır. Android cihazların güvenliğinin temini için kötücül uygulamaların tespitinin etkin bir biçimde yapılması gerekmektedir. Android kötücül uygulamaların tespitinde statik, dinamik ve hibrit analiz yöntemleri kullanılmaktadır. Tez çalışması kapsamında hibrit analiz uygulanmış olup, hem statik hem de dinamik analiz yöntemlerinin avantajlarından faydalanılmıştır. İyicil uygulamalar AndroZoo veri setinden, kötücül uygulamalar Drebin veri setinden alınmıştır. Android Studio kapsamında yer alan Monkey ve Monkeyrunner araçları kullanılarak yapılan işlemler Android Virtual Device üzerinde gerçekleştirilmiştir. Statik analiz aşamasında tehlikeli izinler, dinamik analiz aşamasında ise sistem çağrıları ve ağ trafiği incelenmiştir. Elde edilen veriler Temel Bileşen Analizi yöntemi (TBA) kullanılarak random forest ve Naïve Bayes makine öğrenmesi algoritmalarıyla ve ayrıca TBA yöntemi kullanılmadan destek vektör makinesi ve K en yakın komşu algoritmalarıyla sınıflandırılmıştır. Kullanılan makine öğrenmesi algoritmaları içerisinde sınıflandırma işlemini en başarılı olarak random forest yönteminin yaptığı tespit edilmiştir. TBA + random forest algoritmasının doğruluk oranı %98,7, TPR'si %99,2, FPR'si %1,8, duyarlılık oranı %98,2 ve F-Measure değeri %98,7'dir.

Abstract:
Nowadays, mobile smartphones are one of the significant parts of human lives, which makes people get information and communicate easily. Today, Android is the most widely used mobile operating system according to statistical researches. Since Android has the biggest market share and spreading the malware is easier than before, Android application ecosystem has become one of the biggest targets for malware developers. The reason for having lots of malware applications on Google Play and the other application markets is that there is no sufficient security scan before making an application publicly available on the stores. To ensure the safety of Android devices, the detection of malicious applications needs to be done effectively. Static, dynamic and hybrid analysis methods are heavily used in the detection of malware applications. This thesis scope includes hybrid analysis method which consists of both dynamic and static analysis techniques. Benign applications were taken from AndroZoo data set,  malware applications were taken from Drebin data set. Operations executed using the Monkey and Monkeyrunner tools included in Android Studio were performed on Android Virtual Device. While static analysis phase examined dangerous user permissions, the dynamic analysis phase analyzed system calls and network data. The data obtained were classified by random forest and Naïve Bayes machine learning algorithms using principal component analysis (PCA) and also were classified by support vector machine and K nearest neighbor algorithms without PCA. It was determined that random forest method makes the classification process the most successful. The accuracy rate of TBA + Random Forest algorithm is 98,7%, TPR is 99,2%, FPR is 1,8%, precision is 98,2% and F-Measure is 98,7%.