[發明專利]識別數據的方法、設備和數據處理方法

有效

• 申請號: 201810453316.4
• 申請日: 2018-05-11
• 公開（公告）號: CN110472410B
• 公開（公告）日: 2023-02-28
• 發明（設計）人: 萬朝新
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/52
• 分類號: G06F21/52;G06F18/214
• 代理公司: 北京博浩百睿知識產權代理有限責任公司 11134
• 代理人: 褚敏;宋子良

1.一種識別數據的方法，其特征在于，包括：

根據提取的進程樣本獲取訓練樣本以及所述訓練樣本的特征；

依據所述訓練樣本和所述訓練樣本的特征生成分析模型；

依據所述分析模型對線上采集的數據進行識別；

其中，所述根據提取的進程樣本獲取訓練樣本以及所述訓練樣本的特征包括：

提取主機上的進程樣本；

解析所述進程樣本得到所述訓練樣本；

依據所述訓練樣本進行特征采集，得到所述訓練樣本的特征；

所述依據所述訓練樣本進行特征采集，得到所述訓練樣本的特征包括：

采集所述訓練樣本在所述主機上的文件特征、網絡特征和進程特征；

在所述采集所述訓練樣本在所述主機上的文件特征、網絡特征和進程特征之后，所述方法還包括：

通過預設條件對所述文件特征、所述網絡特征和所述進程特征向量化；

所述通過預設條件對所述文件特征、所述網絡特征和所述進程特征向量化包括：

在通過所述主機上的代理裝置采集所述訓練樣本在所述主機上的文件特征的情況下，計算進程文件名的香農熵和進程文件名中的數字使用比例，以及基于預設文本模型評估所述進程文件名是否符合人類拼寫習慣的文件名。

2.根據權利要求1所述的方法，其特征在于，所述解析所述進程樣本得到所述訓練樣本包括：

對所述進程樣本通過手動/自動化方式進行分析打標，識別得到僵尸網絡后門進程，并將屬于所述僵尸網絡后門進程的進程樣本作為訓練樣本。

3.根據權利要求1所述的方法，其特征在于，所述采集所述訓練樣本在所述主機上的文件特征、網絡特征和進程特征包括：

通過所述主機上的代理裝置采集所述訓練樣本在所述主機上的文件特征、網絡特征和進程特征。

4.根據權利要求1所述的方法，其特征在于，所述通過預設條件對所述文件特征、所述網絡特征和所述進程特征向量化包括：

在通過所述主機上的代理裝置采集所述訓練樣本在所述主機上的網絡特征的情況下，采集的網絡特征包括：高危端口連接頻率、正常端口連接頻率、高危端口獨熱碼統計、正常端口獨熱碼統計、握手請求量和創建連接量中的至少一種或至少兩種的組合。

5.根據權利要求4所述的方法，其特征在于，采集所述高危端口連接頻率包括：通過統計惡意進程連接頻率，得到高危端口名單，并通過統計每個所述惡意進程對高危端口的連接頻率，得到所述高危端口連接頻率。

6.根據權利要求4所述的方法，其特征在于，采集所述正常端口連接頻率包括：通過統計正常進程連接頻率，得到正常端口名單，并通過統計每個所述正常進程對正常端口的連接頻率，得到所述正常端口連接頻率。

7.根據權利要求4所述的方法，其特征在于，采集所述高危端口獨熱碼統計包括：統計高危端口名單中預設排名范圍內的端口，建立獨熱碼向量，并將惡意進程映射到所述獨熱碼向量。

8.根據權利要求4所述的方法，其特征在于，采集所述正常端口獨熱碼統計包括：統計正常端口名單中預設排名范圍內的端口，建立獨熱碼向量，并將正常進程映射到所述獨熱碼向量。

9.根據權利要求4所述的方法，其特征在于，采集所述握手請求量包括：統計所有進程發出的握手請求量。

10.根據權利要求4所述的方法，其特征在于，采集所述創建連接量包括：統計所有進程成功建立連接的創建連接量。