[發明專利]用于檢測計算機系統中的惡意活動的系統和方法

在審

• 申請號: 201910082307.3
• 申請日: 2019-01-28
• 公開（公告）號: CN109948335A
• 公開（公告）日: 2019-06-28
• 發明（設計）人: 伊戈爾·I·索門科夫;謝爾蓋·Y·戈洛瓦諾夫
• 申請（專利權）人: 卡巴斯基實驗室股份公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F16/583
• 代理公司: 北京市磐華律師事務所 11336
• 代理人: 高偉;婁曉丹

1.一種用于檢測計算機系統中的惡意活動的系統，所述系統包括：

計算平臺，包括至少一個處理器和可操作地耦合到所述至少一個處理器的存儲器的計算硬件；以及

指令，當在所述計算平臺上執行所述指令時，使所述計算平臺實現：

收集工具，被配置為：

收集關于所述計算機系統的多個信息對象，以及

確定所述多個信息對象之間的多個關系，

圖形構建工具，被配置為：

基于所述多個信息對象和所述多個關系構建至少第一中間圖形和第二中間圖形，其中所述第一中間圖形和所述第二中間圖形以所述多個信息對象作為頂點并且所述多個關系作為邊來形成，以及

基于至少第一中間圖形和第二中間圖形構建最終圖形，其中所述最終圖形包括來自所述第一中間圖形的至少一個頂點和來自所述第二中間圖形的至少一個頂點，以及連接來自所述第一中間圖形的至少一個頂點和來自所述第二中間圖形的至少一個頂點的至少一個邊，

搜索工具，被配置為：

基于相似度閾值從圖形數據庫中選擇與所述最終圖形相似的至少一個預先存在的圖形，所述至少一個預先存在的圖形被指派惡意活動率，

分析工具，被配置為基于所述至少一個預先存在的圖形確定惡意活動。

2.如權利要求1所述的系統，其中所述多個信息對象是文件、網絡分組、網站、隨機存取存儲器(RAM)頁、系統進程、操作系統對象、操作系統事件、操作系統日志中的條目、應用程序日志中的條目、主文件表(MFT)中的條目或操作系統注冊表中的條目中的至少一個。

3.如權利要求1所述的系統，其中所述收集工具還被配置為通過確定所述多個信息對象中的兩個之間的關系的可靠程度來確定多個關系中的至少一個，作為表征所述多個信息對象中的兩個中的第一個與所述多個信息對象中的兩個中的第二個具有邏輯關系或函數關系的概率的數值。

4.如權利要求3所述的系統，其中所述收集工具還被配置為當所述可靠程度超過可靠性閾值時，將所述多個信息對象和所述多個關系發送到所述圖形構建工具。

5.如權利要求1所述的系統，其中使用經訓練的選擇模型選擇所述多個信息對象，所述經訓練的選擇模型先前由具有已知惡意的訓練樣本來訓練。

6.如權利要求4所述的系統，其中在所述計算平臺上執行所述指令使所述計算平臺進一步實現：

重新訓練工具，被配置為基于所述惡意活動的確定通過以下步驟來重新訓練所述經訓練的選擇模型：

將所述收集工具收集的所述多個信息對象從所述收集工具的第一實例減少到所述收集工具的第二實例，以及

將用于所述圖形構建工具的資源消耗從所述收集工具的第一實例減少到所述收集工具的第二實例。

7.如權利要求1所述的系統，其中所述圖形構建工具還被配置為通過至少減少信息對象之間的關系、消除具有預定義對象特征的信息對象、消除具有預定義關系特征的關系、消除重復關系或最小化關系線之間的交點數量來優化所述最終圖形。

8.如權利要求1所述的系統，其中基于所述多個信息對象和已知惡意活動用圖形來填充所述圖形數據庫。

9.如權利要求1所述的系統，其中所述分析工具被配置為通過分析所述至少一個預先存在的圖形的所述惡意活動率和所述至少一個預先存在的圖形與所述最終圖形的相似性來確定惡意活動。

10.如權利要求9所述的系統，其中所述惡意活動率根據以下公式計算：

其中w是所分析的計算機系統的惡意活動率；

w_j是從所述圖形數據庫中選擇的圖形j的惡意活動率；

c_{i,j}是從所述圖形數據庫中選擇的圖形i和圖形j之間的相似度。

N是為所分析的計算機系統構建的圖形的數量；以及

M是從所述圖形數據庫中選擇的圖形的數量。