[發明專利]模式合并以識別惡意行為

有效

• 申請號: 201280074998.9
• 申請日: 2012-07-31
• 公開（公告）號: CN104509034B
• 公開（公告）日: 2017-12-12
• 發明（設計）人: 阿努拉克·辛格拉;蘇蘭讓·普羅馬尼克;托馬斯·桑德
• 申請（專利權）人: 慧與發展有限責任合伙企業
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L12/22
• 代理公司: 北京德琦知識產權代理有限公司11018
• 代理人: 于會玲,康泉

1.一種過程，包括：

分析由網絡上的多個計算設備報告的事件，以識別發生在所述網絡上的事件的模式；

共享關于所檢測到的模式的信息，其中所述信息與社區共享；并且

使用關于所述模式的合并信息，來選擇所述模式中的一個或多個，以用于識別所選擇的模式是否產生于惡意行為的分析，其中

所述合并信息包括在所述網絡上檢測到的關于所述模式的信息和關于別處檢測到的事件的對應模式的信息；

其中使用關于所述模式的合并信息包括：確定該模式的評分，其中所述評分為通過多個機構取決于該模式的相應報告的多個貢獻之和。

2.根據權利要求1所述的過程，其中共享所述信息包括：

產生識別的事件的模式中的每一個的標準形式；以及

將所述標準形式包括在與所述社區共享的信息中。

3.根據權利要求2所述的過程，其中產生所述標準形式包括：

收集對應于所述模式的一組事件的事件數據；

將所述事件數據中的行為表征與執行行為的參與者的表征隔離；以及

不將所述行為表征與所述執行行為的參與者的表征共享，以由此避免共享所述事件數據中的機密信息。

4.根據權利要求1所述的過程，其中使用所述合并信息包括：以指示給分析師所述模式的威脅的相應水平的順序，區分所述模式的優先次序。

5.根據權利要求1所述的過程，其中共享包括：提供關于所述模式的所述信息至在所述社區中可訪問的威脅交換機。

6.根據權利要求1所述的過程，其中使用所述合并信息包括：確定事件的所述模式中的一個發生在其上的網絡的數目。

7.根據權利要求1所述的過程，其中使用所述合并信息包括：確定被事件的所述模式中的一個的發生影響的機器的數目。

8.根據權利要求1所述的過程，進一步包括：分析所選擇模式中的一個以檢測引起該模式的惡意軟件，其中在所述惡意軟件執行零日攻擊的延遲部分之前，所述惡意軟件被檢測。

9.根據權利要求1所述的過程，其中所述貢獻中的每一個根據與該貢獻關聯的機構的聲譽而加權。

10.一種非臨時性計算機可讀媒體，包含在被計算系統執行時引起一過程的指令，所述過程包括：

分析由網絡上的多個計算設備報告的事件，以識別發生在所述網絡上的事件的模式；

共享關于所檢測到的模式的信息，其中所述信息與社區共享；并且

使用關于所述模式的合并信息，以選擇所述模式中的一個或多個，以用于識別所選擇的模式是否產生于惡意行為的分析，其中

所述合并信息包括在所述網絡上檢測到的關于所述模式的信息和關于別處檢測到的事件的對應模式的信息；

其中使用關于所述模式的合并信息包括：確定該模式的評分，其中所述評分為通過多個機構取決于該模式的相應報告的多個貢獻之和。

11.一種系統，包括：

模式發現模塊，被配置為在網絡中檢測事件的模式；以及

通知者，被配置為將檢測到的模式的標準形式與社區共享，其中所述標準形式在與別處檢測到的關于模式的信息合并時指示產生于惡意行為的模式的威脅的相應水平；其中所述威脅交換機可操作為針對所述模式確定評分，其中所述評分為通過多個機構取決于該模式的相應報告的多個貢獻之和。

12.根據權利要求11所述的系統，進一步包括威脅交換機，所述威脅交換機與所述社區通信，并且被配置為給所述社區提供與所述標準形式關聯并且產生于多個所述模式發現模塊中的合并信息的信息。

13.根據權利要求11所述的系統，其中所述標準形式包括從所述事件數據中提取的行為表征，而不包括以標準形式執行行為的參與者的表征。