[發明專利]基于用戶行為確定惡意下載風險的系統和方法

有效

• 申請號: 201680034518.4
• 申請日: 2016-06-14
• 公開（公告）號: CN107810504B
• 公開（公告）日: 2021-08-13
• 發明（設計）人: L·余梅爾
• 申請（專利權）人: 諾頓衛復客公司
• 主分類號: G06F21/50
• 分類號: G06F21/50;G06F21/56;G06F21/57
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 周亞榮;安翔

1.一種用于基于用戶行為來確定惡意下載風險的計算機實現的方法，所述方法的至少一部分由包括至少一個處理器的計算設備執行，所述方法包括：

識別處于惡意下載高風險的一組用戶和處于惡意下載低風險的一組用戶；

通過在所述計算設備上執行的機器學習算法確定所述一組高風險用戶所共有并且也由所述一組低風險用戶所共有的高風險下載行為模式作為下載行為，其中所述下載行為在所述一組高風險用戶中普遍并且在所述一組低風險用戶中罕見；

分析未分類用戶在預定義時間段內的下載行為，以將所述下載行為分類為高風險或低風險；

響應于確定所述未分類用戶的所述下載行為落入所述高風險下載行為模式的預定義相似度閾值內，將所述未分類用戶分類為高風險用戶，其中所述高風險下載行為模式包括對小于預定百分比的由其他用戶使用的計算設備上找到的至少一個文件進行下載；以及

增加所述高風險用戶的安全態勢，以降低所述高風險用戶感染惡意軟件的風險，其中增加所述安全態勢包括增加與所述計算設備相關聯的防火墻設置或垃圾郵件過濾器中的至少一個的限制。

2.根據權利要求1所述的計算機實現的方法，還包括收集關于所述高風險用戶的附加數據，以實現以下各項中的至少一者：

提高所述高風險下載行為模式在預測惡意軟件感染時的準確性；以及

提高附加惡意軟件感染預測系統的準確性。

3.根據權利要求1所述的計算機實現的方法，還包括增加包括所述高風險用戶的組織的安全態勢，以降低由所述組織使用的計算設備感染惡意軟件的風險。

4.根據權利要求1所述的計算機實現的方法，其中識別所述一組高風險用戶和所述一組低風險用戶包括：

監視一組未分類用戶在預定義下載監視時間段內的下載行為；

將在所述預定義下載監視時間段期間計算設備感染了惡意軟件的用戶分類為所述一組高風險用戶；以及

將在所述預定義下載監視時間段期間計算設備未感染惡意軟件的用戶分類為所述一組低風險用戶。

5.根據權利要求1所述的計算機實現的方法，其中所述高風險下載行為模式包括以下各項中的至少一者：

由所述高風險用戶使用來下載文件的計算設備上的文件的總數；

信譽得分，所述信譽得分應用于由所述高風險用戶使用來下載文件的計算設備上的至少一個文件，并且低于預定義信譽得分閾值；

至少一個文件，所述至少一個文件在由所述高風險用戶使用來下載文件的計算設備上，并且在其他用戶所使用的計算設備上低于預定義頻率閾值；

在由所述高風險用戶使用來下載文件的計算設備上下載至少一個文件的時間戳；以及

由所述高風險用戶使用來下載文件的計算設備上的至少一個文件的類別。

6.根據權利要求1所述的計算機實現的方法，其中所述高風險下載行為模式包括以下各項中的至少一者：

由所述高風險用戶使用來下載文件的計算設備上的不同文件名的總數；

信譽得分，所述信譽得分應用于由所述高風險用戶使用來下載文件的計算設備上的至少一個不同文件名，并且低于預定義信譽得分閾值；

至少一個不同文件名，所述至少一個不同文件名在由所述高風險用戶使用來下載文件的計算設備上，并且在其他用戶所使用的計算設備上低于預定義頻率閾值；以及

在由所述高風險用戶使用來下載文件的計算設備上下載至少一個不同文件名的時間戳。

7.根據權利要求1所述的計算機實現的方法，其中所述高風險下載行為模式包括以下各項中的至少一者：

由所述高風險用戶使用來下載文件的計算設備上的不同文件路徑的總數；

信譽得分，所述信譽得分應用于由所述高風險用戶使用來下載文件的計算設備上的至少一個不同文件路徑，并且低于預定義信譽得分閾值；

至少一個不同文件路徑，所述至少一個不同文件路徑在由所述高風險用戶使用來下載文件的計算設備上，并且在其他用戶所使用的計算設備上低于預定義頻率閾值；以及

在由所述高風險用戶使用來下載文件的計算設備上創建至少一個不同文件路徑的時間戳。