[發明專利]異常進程檢測方法及裝置、電子設備和存儲介質

在審

• 申請號: 202111661510.X
• 申請日: 2021-12-31
• 公開（公告）號: CN114357449A
• 公開（公告）日: 2022-04-15
• 發明（設計）人: 鄧博仁;汪來富;張靜靜;劉東鑫;史國水
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京律智知識產權代理有限公司 11438
• 代理人: 王輝;闞梓瑄

1.一種異常進程檢測方法，其特征在于，包括：

獲取待分析進程的進程執行信息；所述進程執行信息包括進程基本信息、執行命令信息與執行用戶信息；

根據所述進程基本信息構建進程集合；所述進程集合包含多個進程之間的進程層次關系；

根據所述執行命令信息與所述進程層次關系對所述進程集合進行結構調整，得到命令關系集合，并確定所述命令關系集合對應的命令關系特征值；

根據所述執行用戶信息與所述進程層次關系對所述進程集合進行結構調整，得到用戶關系集合，并確定所述用戶關系集合對應的用戶關系特征值；

獲取預先確定的特征對比參考值，將所述命令關系特征值與所述用戶關系特征值分別與所述特征對比參考值進行對比，以確定異常進程信息。

2.根據權利要求1所述的方法，其特征在于，所述特征對比參考值包括命令關系參考特征值與用戶關系參考特征值，所述方法還包括：

獲取歷史進程數據，根據所述歷史進程數據生成樣本進程數據集；所述樣本進程數據集包括多個樣本進程的執行信息；所述執行信息包括樣本進程基本信息、樣本進程命令信息與樣本進程用戶信息；

根據所述樣本進程基本信息構建樣本進程集合；所述樣本進程集合包含多個樣本進程之間的樣本進程層次關系；

根據所述樣本進程命令信息與所述樣本進程層次關系對所述樣本進程集合進行結構調整，得到樣本進程命令集合，并確定所述樣本進程命令集合對應的命令關系參考特征值；

根據所述樣本進程用戶信息與所述樣本進程層次關系對所述樣本進程集合進行結構調整，得到樣本進程用戶集合，并確定所述樣本進程用戶集合對應的用戶關系參考特征值。

3.根據權利要求2所述的方法，其特征在于，所述樣本進程命令信息包括進程類型映射表；所述樣本進程集合采用樹形結構存儲；

根據所述樣本進程命令信息與所述樣本進程層次關系對所述樣本進程集合進行結構調整，得到樣本進程命令集合，并確定所述樣本進程命令集合對應的命令關系參考特征值，包括：

根據所述進程類型映射表與所述樣本進程層次關系確定第一待合并節點；所述第一待合并節點為具有父子關系且屬于同一命令類型的進程節點；

對所述第一待合并節點進行合并處理，根據經過合并處理的進程節點調整所述樣本進程集合對應的樹形結構，以生成所述樣本進程命令集合對應的命令關系樹；

根據所述命令關系樹確定所述命令關系參考特征值。

4.根據權利要求3所述的方法，其特征在于，根據所述命令關系樹確定所述命令關系參考特征值，包括：

獲取所述命令關系樹對應的命令類型根節點；

基于所述命令類型根節點遍歷所述命令關系樹，確定所述命令關系樹包含的命令關系進程鏈；

確定所述命令關系樹對應的命令類型操作數值與命令類型層次數值；

根據所述命令類型操作數值與所述命令類型層次數值，確定所述命令關系進程鏈對應的命令關系鏈數值；

根據所述命令關系鏈數值確定所述命令關系參考特征值。

5.根據權利要求2所述的方法，其特征在于，所述樣本進程集合采用樹形結構存儲；

根據所述樣本進程用戶信息與所述樣本進程層次關系對所述樣本進程集合進行結構調整，得到樣本進程用戶集合，并確定所述樣本進程用戶集合對應的用戶關系參考特征值，包括：

根據所述樣本進程用戶信息與所述樣本進程層次關系確定第二待合并節點；所述第二待合并節點為具有父子關系且屬于同一執行用戶的進程節點，或者具有父子關系且屬于同一執行用戶組的進程節點；

對所述第二待合并節點進行合并處理，根據經過合并處理的進程節點調整所述樣本進程集合對應的樹形結構，以生成所述樣本進程用戶集合對應的用戶關系樹；

根據所述用戶關系樹確定所述用戶關系參考特征值。