随着移动互联网的兴起与发展,各种各样的智能移动终端和应用逐步深入到人们的日常生活中来。但是移动终端设备与传统的PC平台互联网类似也充满了像病毒,黑客这样的安全威胁。这些安全威胁在Android系统上特别突出,因为其具有开放性的特点,使得很多恶意软件将其作为最主要的攻击对象。因此,谷歌为了解决Android系统所面临的安全威胁,加入了多种安全机制,主要包括linux内核安全机制、Dalvik虚拟机安全机制和专属于Android系统的安全机制,来保障Android系统的安全。然而,因为当前的安全机制和杀毒软件在防范恶意软件方面还存在很多不足,再加上恶意软件具有多样性和隐蔽性等特点,Android系统仍然缺乏主动防范安全威胁的能力。本论文以保护Android平台安全为根本出发点,对Android终端应用程序的网络异常行为进行分析,深入研究了异常检测算法,在此基础上,设计一种基于网络行为异常评分的Android终端异常检测模型。本文设计的异常检测模型,首先通过收集Android系统的应用程序在正常情况下的网络行为数据(包括包的字节数,流的字节数,流开始的时间,持续的时间等一系列网络行为特征值),每个应用程序发送和接收的网络数据包,然后整合成网络流;其次,在对这些数据进行预处理的基础上通过聚类算法来建立正常的行为轮廓;通过采用相似度聚类的异常监测算法对应用程序实时的数据实例进行监测和用异常评分函数对应用的程序的异常得分进行计算来判断当前应用的程序的网络行为是否异常。通过实验对本文提出的异常检测算法进行有效性和可行性验证,实验结果表明,本文设计的异常检测算法在检测率和检测精度上高于传统的异常检测算法,误检率低于传统的异常检测算法。因此,本文提出的异常检测算法是有效可行的。