Anomaly detection system using system calls for android smartphone system

Abstract

Le téléphone intelligent est un téléphone mobile qui offre des fonctions avancées par rapport aux téléphones portables traditionnels. Les systèmes des téléphones intelligents ont connu une évolution énorme en termes de leurs capacités et fonctionnalités. Par conséquent, ils sont utilisés de manière excessive, dans la vie personnelle et professionnelle. Les utilisateurs des systèmes de téléphones intelligents conservent toute sorte d’informations personnelles, professionnelles et confidentielles dans leurs appareils, comme celles des cartes de crédit et des numéros bancaires. Compte tenu de cette popularité et la conservation des informations confidentielles, les cybercriminels et les développeurs des programmes malveillants ont les yeux rivés sur les systèmes de téléphone intelligent. Les récents rapports sur les programmes malveillants montrent des informations effrayantes concernant des menaces qu’affrontent les systèmes de téléphone intelligent. De ce fait, leurs protection est très importante. Les techniques de détection des programmes malveillants affectant les téléphones intelligents ont été activement étudiées. De manière générale, les deux grandes techniques sont: les techniques basées sur la signature et celles basées sur l’anomalie. Chaque technique possède des avantages et des inconvénients. Dans la présente thèse, nous sommes essentiellement intéressés aux techniques de détection d’anomalie. Ces techniques nécessitent davantage d’études et de recherches pour améliorer l’exactitude de la détection des programmes malveillants et pour consommer le moins de ressources possible. Cette thèse apporte des contributions sur trois niveaux en vue d’améliorer l’efficacité, l’exactitude et l’adaptabilité des techniques basées sur l’anomalie concernant le système de téléphone intelligent fondé sur le système d’exploitation Android. La première contribution présente une étude qui examine les techniques existantes de détection de logiciels malveillants. Cette analyse offre une classification complète des techniques étudiées selon des critères bien définis. La deuxième contribution est basé sur le niveau de données qui est utilisée pour décrire le comportement d’application et son double caractère. Premièrement, nous introduisons la représentation du vecteur-caractéristique des données comme étant un nouveau facteur qui pourrait améliorer l’efficacité et l’exactitude de la solution de la détection des programmes malveillants. Deuxièmement, nous introduisons le processus de filtrage et d’abstraction qui rafine les traces d’appel système. Les traces rafinées sont bien plus compactes et refletent encore plus le comportement des applications. La troisième contribution est fondée sur le niveau du modèle de comportement normal et son double caractère. En premier lieu, nous avons établi une base de données canonique représentant un comportement normal générique à partir d’un nombre limité d’applications représentatives. En second lieu, au lieu d’utiliser un seul classificateur d’apprentissage automatique pour modéliser le comportement normal, nous avons utilisé un classificateur hybride d’apprentissage automatique.

Date	21 May 2015
Original language	French
Awarding Institution	École de technologie supérieure
Supervisor	Jean-Marc Robert (Supervisor) & Talhi Chamseddine (Co-supervisor)