[發(fā)明專利]異常程序行為檢測方法、裝置、電子設(shè)備和存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201911183934.2
• 申請日: 2019-09-16
• 公開（公告）號: CN111026653B
• 公開（公告）日: 2022-04-08
• 發(fā)明（設(shè)計）人: 周勇鈞;鄭越;魯四喜
• 申請（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36;G06K9/62;G06N20/00
• 代理公司: 深圳市隆天聯(lián)鼎知識產(chǎn)權(quán)代理有限公司 44232
• 代理人: 王鵬健

1.一種異常程序行為檢測方法，其特征在于，包括

響應(yīng)用戶發(fā)起的程序檢測請求，從區(qū)塊鏈系統(tǒng)中獲取所述程序檢測請求對應(yīng)的程序行為數(shù)據(jù);

從所述程序行為數(shù)據(jù)中獲取程序行為特征數(shù)據(jù)；

對所述程序行為特征數(shù)據(jù)進行無監(jiān)督聚類分析得到離群特征數(shù)據(jù)和除所述離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)；

使用除所述離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)訓(xùn)練機器學(xué)習(xí)模型；

將所述離群特征數(shù)據(jù)輸入所述機器學(xué)習(xí)模型中，所述機器學(xué)習(xí)模型為所述離群特征數(shù)據(jù)分配標簽；

根據(jù)所述機器學(xué)習(xí)模型的輸出結(jié)果，識別異常的程序行為特征數(shù)據(jù)；

通過有監(jiān)督聚類的方式，將所述異常的程序行為特征數(shù)據(jù)與預(yù)設(shè)特征進行匹配；

根據(jù)所述異常的程序行為特征數(shù)據(jù)中與所述預(yù)設(shè)特征不匹配的程序行為特征數(shù)據(jù)，確定異常的程序行為數(shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的異常程序行為檢測方法，其特征在于，所述響應(yīng)用戶發(fā)起的程序檢測請求，從區(qū)塊鏈系統(tǒng)中獲取所述程序檢測請求對應(yīng)的程序行為數(shù)據(jù)，包括：

在接收到所述程序檢測請求后，將所述程序檢測請求針對的目標應(yīng)用程序所對應(yīng)的程序行為數(shù)據(jù)存儲在至少兩個緩存區(qū)域中；

從至少一個所述緩存區(qū)域中獲取所述程序行為數(shù)據(jù)。

3.根據(jù)權(quán)利要求1所述的異常程序行為檢測方法，其特征在于，所述對所述程序行為特征數(shù)據(jù)進行無監(jiān)督聚類分析得到離群特征數(shù)據(jù)和除所述離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)，包括：

對所述程序行為特征數(shù)據(jù)進行預(yù)處理；

對所述預(yù)處理后的程序行為特征數(shù)據(jù)進行無監(jiān)督聚類分析得到除離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)。

4.根據(jù)權(quán)利要求3所述的異常程序行為檢測方法，其特征在于，所述對所述程序行為特征數(shù)據(jù)進行預(yù)處理，包括：

將所述程序行為特征數(shù)據(jù)程序行為特征數(shù)據(jù)進行歸一化處理和降維處理。

5.根據(jù)權(quán)利要求1所述的異常程序行為檢測方法，其特征在于，所述根據(jù)所述異常的程序行為特征數(shù)據(jù)中與所述預(yù)設(shè)特征不匹配的程序行為特征數(shù)據(jù)，確定異常的程序行為數(shù)據(jù)，包括：

將所述異常的程序行為特征數(shù)據(jù)中與所述預(yù)設(shè)特征不匹配的程序行為特征數(shù)據(jù)發(fā)送給用戶進行人工檢測；

接收未通過人工檢測的程序行為特征數(shù)據(jù)，基于所述未通過人工檢測的程序行為特征數(shù)據(jù)確定異常的程序行為數(shù)據(jù)。

6.根據(jù)權(quán)利要求1所述的異常程序行為檢測方法，其特征在于，在所述響應(yīng)用戶發(fā)起的程序檢測請求，從區(qū)塊鏈系統(tǒng)中獲取所述程序檢測請求對應(yīng)的程序行為數(shù)據(jù)之前，所述方法包括：

采集所述程序行為數(shù)據(jù)，對所述程序行為數(shù)據(jù)轉(zhuǎn)化成預(yù)定格式后存儲至所述區(qū)塊鏈系統(tǒng)中。

7.一種異常程序行為檢測裝置，其特征在于，包括：

獲取模塊，用于響應(yīng)用戶發(fā)起的程序檢測請求，從區(qū)塊鏈系統(tǒng)中獲取所述程序檢測請求對應(yīng)的程序行為數(shù)據(jù)，從所述程序行為數(shù)據(jù)中獲取程序行為特征數(shù)據(jù)；

聚類模塊，用于對所述程序行為特征數(shù)據(jù)進行無監(jiān)督聚類分析得到離群特征數(shù)據(jù)和除所述離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)；

識別模塊，用于使用除所述離群特征數(shù)據(jù)以外的程序行為特征數(shù)據(jù)訓(xùn)練機器學(xué)習(xí)模型，將所述離群特征數(shù)據(jù)輸入所述機器學(xué)習(xí)模型中，所述機器學(xué)習(xí)模型為所述離群特征數(shù)據(jù)分配標簽；根據(jù)所述機器學(xué)習(xí)模型的輸出結(jié)果，識別異常的程序行為特征數(shù)據(jù)；通過有監(jiān)督聚類的方式，將所述異常的程序行為特征數(shù)據(jù)與預(yù)設(shè)特征進行匹配；根據(jù)所述異常的程序行為特征數(shù)據(jù)中與所述預(yù)設(shè)特征不匹配的程序行為特征數(shù)據(jù)，確定異常的程序行為數(shù)據(jù)。

8.根據(jù)權(quán)利要求7所述的異常程序行為檢測裝置，其特征在于，所述獲取模塊配置為：在接收到所述程序檢測請求后，將所述程序檢測請求針對的目標應(yīng)用程序所對應(yīng)的程序行為數(shù)據(jù)存儲在至少兩個緩存區(qū)域中；從至少一個所述緩存區(qū)域中獲取所述程序行為數(shù)據(jù)。