[發明專利]用于行為威脅檢測的系統及方法

在審

• 申請號: 201980081446.2
• 申請日: 2019-12-10
• 公開（公告）號: CN113168469A
• 公開（公告）日: 2021-07-23
• 發明（設計）人: D·迪基烏;S·尼古拉;E·A·博辛恰努;S·N·扎姆菲爾;A·丁庫;A·A·阿波斯托阿耶
• 申請（專利權）人: 比特梵德知識產權管理有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;H04L29/06
• 代理公司: 北京律盟知識產權代理有限責任公司 11287
• 代理人: 張世俊

1.一種包括至少一個硬件處理器的服務器計算機系統，所述至少一個硬件處理器經配置以：

響應于接收到目標事件在目標客戶端系統上發生的指示，組裝包含所述目標事件的事件序列，所述事件序列中的所有事件都已發生于所述目標客戶端系統上，其中所述事件序列的成員根據所述事件序列中的每一事件的發生時間布置；

響應于接收到所述指示，根據所述目標客戶端系統從多個參數值選擇參數值；

作為選擇所述參數值的響應，使用所述參數值實例化行為模型，所述行為模型經配置以輸入所述事件序列的所選擇的事件且作為響應產生指示所述事件序列包含所述目標事件的可能性的預測指示符；及

響應于實例化所述行為模型，根據所述預測指示符確定所述目標事件是否指示計算機安全威脅；

其中：

所述多個參數值根據已經發生于分組到多個客戶端集群中的多個客戶端系統上的事件的訓練語料庫進行確定；

所述多個參數值中的每一者根據所述訓練語料庫的相異子集進行確定，每一相異子集已經發生于多個客戶端集群的相異集群的成員上；且

選擇所述參數值包括根據所述目標客戶端系統從所述多個客戶端集群選擇目標集群，及根據所述目標集群選擇所述參數值。

2.根據權利要求1所述的計算機系統，其中確定所述目標事件是否指示所述計算機安全威脅包括：

比較所述預測指示符與預定閾值；

作為響應，當所述比較指示所述事件序列很可能包含所述目標事件時，確定所述目標事件不指示所述計算機安全威脅；及

當所述比較指示所述事件序列不太可能包含所述目標事件時，確定所述目標事件指示所述計算機安全威脅。

3.根據權利要求1所述的計算機系統，其中確定所述目標事件是否指示所述計算機安全威脅包括：

根據所述預測指示符確定經預測事件；

比較所述經預測事件與所述目標事件；及

作為響應，根據所述比較的結果確定所述目標事件是否指示所述計算機安全威脅。

4.根據權利要求1所述的計算機系統，其中：

所述事件序列包括中心事件及事件上下文，所述事件上下文包括在所述中心事件之前發生的所述事件的第一子集及比所述中心事件更晚發生的事件的第二子集；

所述所選擇的事件是所述事件上下文的成員；且

所述預測指示符指示所述目標事件是所述事件序列的所述中心事件的可能性。

5.根據權利要求1所述的計算機系統，其中：

所述行為模型包括事件編碼器，所述事件編碼器經配置以確定指示所述目標事件在事件嵌入空間中的位置的一組坐標；且

所述硬件處理器進一步經配置以根據所述位置確定所述目標事件是否指示所述計算機安全威脅。

6.根據權利要求1所述的計算機系統，其中將所述多個客戶端系統分組到集群中包括：

根據所述訓練語料庫的訓練事件是否發生于所述訓練語料庫的其它事件的所選擇的上下文中構建多個事件類別；

響應于構建所述多個事件類別，根據每一客戶端系統的事件配置文件決定所述每一客戶端系統的集群指派，所述事件配置文件根據在所述每一客戶端系統上發生且屬于所述多個事件類別的所選擇的事件類別的事件計數進行確定。

7.根據權利要求1所述的計算機系統，其中所述參數值根據在所述目標集群的成員上發生的事件上訓練所述行為模型的另一例子的結果進行確定，且其中訓練所述行為模型的所述另一例子包括：

組裝具有中心事件及事件上下文的事件的訓練序列；

采用所述行為模型的所述另一例子，響應于接收到所述訓練序列的所述事件上下文，產生指示所述中心事件屬于所述訓練序列的可能性的訓練預測；及

根據所述訓練預測確定所述參數值。

8.根據權利要求1所述的計算機系統，其進一步經配置以根據所述目標客戶端系統是否是所述目標集群的成員選擇所述目標集群。