CN103368904A - 移动终端、可疑行为检测及判定系统和方法 - Google Patents

Abstract

本发明提出一种移动终端，包括：恶意行为特征模型库存储恶意行为模型；敏感资源监控模块监控应用程序对敏感资源的访问；应用行为采集模块根据监控到的行为数据获得对应的敏感行为；应用行为数据库存储敏感行为；应用行为分析中心接收敏感行为并调用恶意行为特征模型库中的恶意行为模型，判断敏感行为对应的行为是否为可疑行为；应用安全中心查询敏感行为，并以恶意程度对敏感行为所对应的应用程序访问进行排序，并设置应用程序访问的警告级别。本发明还提出了一种可疑行为检测及判定系统以及可疑行为检测及判定方法。本发明具有可提供应用程序的安全保障，具备恶意行为预防和监测能力的优点。

Description

移动终端、可疑行为检测及判定系统和方法

技术领域

本发明涉及通信技术领域，特别涉及一种移动终端、可疑行为检测及判定系统和方法。

背景技术

随着移动智能终端功能的日益强大，移动智能终端应用软件数量激增，移动智能终端用户数量快速增多。但随之而来的是，带有恶意行为的应用程序也越来越多，令人防不胜防。这些应用程序的恶意行为主要有：恶意扣费或消耗套餐，窃取用户隐私资料，无提示联网下载软件，大量传播恶意软件等。如何防范这些恶意程序已经成为亟待解决的问题。

各手机操作系统平台对现有的用程序进行资源访问控制的技术具体包括以下几种：

(1)Android平台的资源访问控制机制：

在应用安装时，向用户展示应用程序所声明其所需要的权限，用户确定安装该应用则说明用户允许该应用程序使用这些权限，允许应用程序访问这些权限相对应的资源，应用安装成功后，其应用程序信息中就包含了其所声明的权限。

应用程序运行时，访问敏感资源时，系统会去判断该应用程序信息中是否包含有相应的权限，若有相应的权限则直接允许应用程序访问该资源，若没有相应的权限则系统抛出安全异常迫使应用程序停止运行来禁止应用程序访问该资源。

(2)Symbian平台

Symbian平台上，应用程序能力分类非常粗糙，一个能力可以指代很大范围的操作类型。并且Symbian平台也没有将应用程序行为通过可疑行为监测的方式暴露给用户的机制，也由用户来断定可疑行为的恶意性的机制。

(3)Windows Mobile系统

Windows Mobile系统上，没有对应用程序进行行为能力分类和资源访问控制。

上述各种手机操作系统平台对应用程序的控制具有以下的技术缺陷：

(1)恶意程序可以轻易地逃过普通用户的眼睛来实施恶意行为。访问资源的权限，一次允许，无法更改，应用被卸载前永久生效。Android平台的资源访问控制机制，是对敏感资源的访问通过权限许可来进行控制。如果一个应用程序被用户安装到了手机上，该应用将拥有其所声明需要使用的所有权限。随后应用程序在运行时，系统将根据该应用程序拥有的权限来进行资源访问许可判断，应用程序访问安装包中声明过相应权限的资源将直接被系统允许，并且通常都是在用户不知情的情况下进行资源的访问。

(2)对于用户来说，权限粒度太小，使用难度大。权限所能控制的范围是某项敏感资源的访问。然而一个对用户利益产生损害的行为，很多情况下是需要按照一定的顺序访问好几项敏感资源的，所以让用户通过权限来了解和控制应用程序行为能力，会给用户带来一定的难度。对用户来说，权限所代表的应用程序操作粒度太小，无法反映应用程序的一项完整的行为。

(3)对于资源保护来说，权限粒度太大，不能对更细化的敏感资源分类进行单独控制。

发明内容

本发明的目的旨在至少解决上述技术缺陷之一。

为此，本发明的第一个目的在于提出一种移动终端，可以提供应用程序的安全保障，具备恶意行为预防和监测能力。本发明的第二个目的在于提出一种可疑行为检测及判定系统。本发明的第三个目的在于提出一种可疑行为检测及判定方法。

为达到上述目的，本发明第一方面的实施例提出一种移动终端，包括：恶意行为特征模型库，用于存储恶意行为模型；敏感资源监控模块，用于监控应用程序对敏感资源的访问以获得所述应用程序的行为数据；行为采集模块，用于对所述敏感资源监控模块监控到的所述行为数据获得所述应用程序对所述敏感资源的敏感行为；应用行为数据库，用于存储所述行为采集模块检测的所述敏感行为；应用行为分析中心，用于接收来自所述行为采集模块的所述敏感行为，并调用所述恶意行为特征模型库中的恶意行为模型，以及将所述敏感行为与所述恶意行为模型进行匹配以判断所述敏感行为对应的行为是否为可疑行为；以及应用安全中心，用于查询所述应用行为数据库中存储的所述敏感行为，以及当判断所述敏感行为为可疑行为后，以恶意程度对所述敏感行为所对应的应用程序访问进行排序，并设置所述应用程序访问的警告级别。

根据本发明实施例的移动终端，可以将采集到的敏感行为与预存的恶意行为特征模型库中的恶意行为模型进行匹配，从而判断该敏感行为是否为可疑行为，从而为用户提供应用程序的安全保障，并且本发明的移动终端提供敏感行为的查询功能，且具有恶意行为预防和监测能力。

本发明第二方面的实施例提出了一种可疑行为检测及判定系统，包括：云服务器，用于收集应用程序的应用行为数据，并根据所述应用行为数据获取可疑行为特征数据；以及第一方面实施例中的移动终端，用于同步云服务器的所述可疑行为特征数据，并根据恶意行为特征数据判断移动终端内部执行的所述敏感行为是否为恶意行为。

根据本发明实施例的恶意行为检测及判定系统，利用云服务器采集应用程序的应用行为数据，并通过对应用行为数据的分析获取可疑行为特征数据，并且实现云服务器和移动终端的数据同步，从而为移动终端判断应用程序的敏感行为是否为可疑行为提供依据。通过依靠云服务器的资源优势，提供更广泛范围的应用程序的安全保障，具有更可靠的恶意行为预防和监测能力。

本发明第三方面的实施例还提出了一种可疑行为检测及判定方法，包括如下步骤：云服务器收集应用程序的应用行为数据，根据应用行为数据获取可疑行为特征数据并更新至移动终端；移动终端监控应用程序对敏感资源的访问以获得所述应用程序的行为数据并根据所述行为数据获得所述应用程序对应的敏感行为，以及将敏感行为与预设的恶意行为模型进行匹配以判断敏感行为是否为可疑行为，其中，所述敏感资源为恶意行为对应的应用程序访问的资源，恶意行为模型根据可疑行为特征数据建立；移动终端在判断敏感行为为可疑行为后，以恶意程度对所述敏感行为所对应的应用程序访问进行排序，并设置所述应用程序访问的警告级别。

根据本发明实施例的可疑行为检测及判定方法，利用云服务器采集应用程序的应用行为数据，并通过对应用行为数据的分析获取可疑行为特征数据，并且实现云服务器和移动终端的数据同步，从而为移动终端判断应用程序的敏感行为是否为可疑行为提供依据。通过依靠云服务器的资源优势，提供更广泛范围的应用程序的安全保障，具有更可靠的恶意行为预防和监测能力。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例的移动终端的示意图；

图2为本发明实施例的可疑行为检测及判定系统的示意图；

图3为本发明实施例的云服务器的示意图；

图4为本发明实施例的可疑行为检测及判定系统的结构框图；以及

图5为本发明实施例的可疑行为检测及判定方法的流程图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

在本发明的描述中，需要说明的是，除非另有规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是机械连接或电连接，也可以是两个元件内部的连通，可以是直接相连，也可以通过中间媒介间接相连，对于本领域的普通技术人员而言，可以根据具体情况理解上述术语的具体含义。

参照下面的描述和附图，将清楚本发明的实施例的这些和其他方面。在这些描述和附图中，具体公开了本发明的实施例中的一些特定实施方式，来表示实施本发明的实施例的原理的一些方式，但是应当理解，本发明的实施例的范围不受此限制。相反，本发明的实施例包括落入所附加权利要求书的精神和内涵范围内的所有变化、修改和等同物。

如图1所示，本发明实施例的移动终端100，包括：恶意行为特征模型库110、敏感资源监控模块120、应用行为采集模块130、应用行为数据库140、应用行为分析中心150以及应用安全中心160。

恶意行为特征模型库110用于存储系统中所有的恶意行为模型。恶意行为特征模型库110中存储的行为特征模型都是经过加工，应用行为分析中心150可直接使用的数据。

在本发明的一个实施例中，恶意行为特征模型库中存储的所述恶意行为模型通过以下一种或多种方式获取：

(1)移动终端的操作系统内置恶意行为模型的特征，换言之移动终端的Yi平台内置恶意行为模型；

(2)移动终端从云服务器动态更新下载恶意型行为模型的特征，换言之云平台动态更新恶意行为模型；

(3)移动终端的用户自定义恶意行为模型的特征。

敏感资源监控(Application Programming Interface Monitor，API Monitor)模块120用于监控应用程序对敏感资源的访问以获得应用程序的行为数据。为实现敏感资源API(Application Programming Interface，应用编程接口)访问的监测，当前需检测的可疑行为所对应的所有API访问敏感资源监控模块120关注的敏感资源，敏感资源监控模块120只对关注的行为相关的API进行监测。

在本发明的一个实施例中，敏感资源包括短信、通话记录、网上浏览记录、网站登陆账户密码等隐私数据、SIM(Subscriber Identity Module，用户身份识别)卡信息、IMEI(International Mobile Equipment Identity，国际移动设备身份码)、GPS(GlobalPositioning System，全球定位系统)信息等。

应用行为采集(Application Behaviors Collector，ABC)模块130用于根据敏感资源监控模块120监控到的行为数据获得应用程序对敏感资源的敏感行为。具体地，应用行为采集模块130可以负责收集、管理敏感资源监控模块120监测到的信息，并将监测到的信息抽象生成一个与敏感资源对应敏感行为(action)，提供给应用行为分析中心150。应用行为采集模块130将一系列的API的访问映射到一个具体的高层的动作上，并将该动作通报给应用行为分析中心150以使自动机的状态得以跳转，其中，一个动作实际上就对应着自动机的一个状态。由此，利用应用行为采集模块130采集得到敏感行为，从而可以便于后续的统计分析。

应用行为数据库140(Application Behaviors Collector Provider，ABC Provider)用于存储应用行为采集模块130检测的敏感行为。对于需要统计的行为信息，都会存储到应用行为数据库140内。并且，应用行为数据库140还可以对外向应用行为分析中心150和应用安全中心160提供数据。

在本发明的一个实施例中，应用行为数据库140还用于创建敏感行为的索引表，其中，应用行为分析中心150和应用安全中心160通过索引表查询及调用敏感行为。

应用行为分析中心150用于接收来自应用行为采集模块130的敏感行为，并调用恶意行为特征模型库110中的恶意行为模型，以及将敏感行为与恶意行为模型进行匹配，分析当前某个程序执行的操作是否与某个行为模型相符，以判断敏感行为对应的行为是否为可疑行为。判断过程通过将所有的可疑行为模型抽象为一个个有限状态自动机来进行维护，达到鉴定可疑行为的目的。

在本发明的一个实施例中，敏感行为包括多个敏感动作，多个敏感动作之间具有执行顺序，如果应用行为分析中心检测敏感行为同时包括多个敏感动作且具有相同的执行顺序，则判断为可疑行为。

恶意行为建模是基于细分的权限来建模的。一项细分的权限可以对应到应用程序的一个细节的敏感操作，应用程序一系列按顺序执行的敏感操作，才能实现应用程序的完整的意图。换言之，一项可疑行为可以通过定义若干项敏感操作的顺序、状态和其它相关数据，来建立一个描述和定义该项恶意行为的模型。移动终端的操作系统可以通过将应用程序敏感操作序列与恶意行为模型进行匹配，来识别应用程序的可疑行为。

通过深入敏感资资源管理的具体业务逻辑，对敏感资源的分类进行细化划分，便于对应用程序的更具体、细化的敏感资源访问操作进行识别并记录相关信息，同时也可以对更细化分类的资源进行访问控制。下面对将敏感行为与恶意行为模型进行匹配的过程进行描述。

如果一个可疑行为的恶意行为模型中定义的所有关键操作的最后一个操作得以完成，则说明该可疑行为发生了。通过对应用程序的敏感动作进行统计分析，将应用程序的敏感动作序列与恶意行为模型定义的操作序列进行匹配，如果匹配得上，则说明该应用程序发了可疑行为，该可疑行为即是需要用户做进一步判定才能确定的恶意行为。每个用户对可疑行为的判定结果可能不一样，所以同一个应用程序的同一个行为对于不同用户来说，可能是或者不是恶意行为。但是，只要用户关注这个行为，该行为即是可疑行为。

应用安全中心160用于查询应用行为数据库140中存储的敏感行为，以及当判断该敏感行为为可疑行为后，以恶意程度对敏感行为所对应的应用程序访问进行排序，并设置应用程序访问的警告级别。

在本发明的一个实施例中，应用安全中心160包括：查询模块161和排序模块162。其中，查询模块161与应用行为数据库140相连，用于查询敏感行为的信息。在本发明的一个实施例中，敏感行为的信息包括：敏感行为的名称、描述、定义以及关键操作信息。排序模块162与应用行为分析中心150相连，用于根据应用行为分析中心150的分析结果对敏感行为对应的应用程序访问进行排序，并设置敏感行为的警告级别。

在本发明的一个实施例中，关键操作信息包括敏感行为的执行时间、执行顺序以及用户敏感数据。在本发明的一个实施例中，应用安全中心160还包括：配置模块163和提示模块164。其中，配置模块163与应用行为分析中心150相连，用于根据应用行为分析中心150的分析结果配置敏感行为的许可策略或警告策略。提示模块164与配置模块163相连，用于将上述许可策略或警告策略提示给移动终端100的用户。

具体地，提示模块164将当前监测到的可疑行为的详细信息展现给用户，包括该行为的名称、描述、定义、所有关键操作信息等。其中，行为的定义是指相应恶意行为模型的定义。

在用户允许的情况下采用系统推荐的配置，或者根据用户基于自己的需求所作的设置，判定应用程序当前发生的某个可疑行为是否为恶意行为，如果为恶意行为则进一步判断其恶意程度。

可疑行为可以通过以下两种方式进行展示：

(1)实时展示。在应用程序运行时，将当前监测到的可疑行为信息，通过通知、提醒、警告等方式实时地展现给用户。

(2)任意时刻查询。用户在任意时刻可以通过使用系统提供预置功能，查询所有应用程序信息，包括：应用程序名称和描述、应用程序已被系统监测到的可疑行为、以及这些可疑行为的详细信息。

在本发明的又一个实施例中，应用安全中心160进一步还包括：用户自定义模块165。其中，用户自定义模块165与恶意行为特征模型库110相连，用于由移动终端100的用户自定义恶意行为的特征，并同步至恶意行为特征模型库110。用户根据终端展示的可疑行为的信息判断可疑行为是否为恶意行为。

(1)用户判定恶意行为。用户通过在实时展示可疑行为的界面上查看可疑行为信息，并判定该可疑行为是否损害到了自己的利益。如果是，则判定该应用程序的该项行为是恶意行为，同时用户可以对应用程序的恶意行为做出执行许可控制，例如可以将该应用程序的该项恶意行为设置为不可再次被该应用程序执行。

(2)系统协助用户恶意行为。移动终端可以在用户允许的情况下，为了给用户带来便利，并尽可能地保障用户的利益不受损害，可以帮助用户做出恶意行为的判定。例如：对于新安装的应用程序，用户对该应用不清楚，则用户可以允许移动终端协助其对该应用程序预设值的一项可疑行为为恶意行为，禁止该应用程序执行该恶意行为。

根据本发明实施例的移动终端，可以将采集到的敏感行为与预存的恶意行为特征模型库中的恶意行为模型进行匹配，从而判断该敏感行为是否为可疑行为，从而为用户提供应用程序的安全保障，并且本发明的移动终端提供敏感行为的查询功能，且具有恶意行为预防和监测能力。

下面参考图2至图4描述根据本发明实施例的恶意行为检测及判定系统。

如图2所示，本发明实施例的恶意行为检测及判定系统，包括：云服务器200和移动终端。其中，移动终端可以为本发明上述实施例提供的移动终端100。

云服务器200用于收集应用程序的应用行为数据，并根据应用行为数据获取恶意行为特征数据。

移动终端100用于同步云服务器200的恶意行为特征数据，并根据恶意行为特征数据判断移动终端100内部执行的敏感行为是否为可疑行为。

云服务器200为了提供预先(并非在应用程序运行时)判断应用程序可疑行为的功能所需要的数据，可通过以下两种方式来获取应用行为数据：

(1)对应用程序进行测试以获取应用程序的应用行为数据，并将应用行为数据更新至云服务器。具体地，依赖于应用审核小组，将其工作范围扩大到对所有新增、热门应用进行深度测试，预先收集应用程序的行为，然后更新这些数据到云服务器200中。

(2)移动终端将应用程序的应用行为数据同步至云服务器200。所有用户的移动终端100上收集到的应用行为数据(不包括用户隐私数据)，会不定时同步到云服务器200，而利用云服务器200持续积累的应用行为信息，同时又可以持续更新用户移动终端100中的数据。

在本发明的一个实施例中，如图3所示，云服务器200包括：接收模块210、分析模块220和发送模块230。

接收模块210用于接收来自用户或移动终端100的应用行为数据。在本发明的一个实施例中，应用行为数据包括：应用程序的名称、包括的敏感动作、执行时间、以及上述敏感动作的执行顺序。

分析模块220用于对应用行为数据进行分析以获取恶意行为特征数据。发送模块230用于将恶意行为特征数据发送至移动终端100。

如图4所示，移动终端100的应用安全中心接收来自云服务器200的恶意行为特征数据，并将这些恶意行为特征数据更新到恶意行为特征模型库以便于应用行为分析中心将将敏感行为与恶意行为模型进行匹配以判断敏感行为对应的行为是否为可疑行为。

用户根据终端展示的可疑行为的信息判断可疑行为是否为恶意行为。

(1)用户判定恶意行为。用户通过在实时展示可疑行为的界面上查看可疑行为信息，并判定该可疑行为是否损害到了自己的利益。如果是，则判定该应用程序的该项行为是恶意行为，同时用户可以对应用程序的恶意行为做出执行许可控制，例如可以将该应用程序的该项恶意行为设置为不可再次被该应用程序执行。

(2)系统协助用户恶意行为。移动终端可以在用户允许的情况下，为了给用户带来便利，并尽可能地保障用户的利益不受损害，可以帮助用户做出恶意行为的判定。例如：对于新安装的应用程序，用户对该应用不清楚，则用户可以允许移动终端协助其对该应用程序预设值的一项可疑行为为恶意行为，禁止该应用程序执行该恶意行为。

根据本发明实施例的恶意行为检测及判定系统，利用云服务器采集应用程序的应用行为数据，并通过对应用行为数据的分析获取可疑行为特征数据，并且实现云服务器和移动终端的数据同步，从而为移动终端判断应用程序的敏感行为是否为可疑行为提供依据。通过依靠云服务器的资源优势，提供更广泛范围的应用程序的安全保障，具有更可靠的恶意行为预防和监测能力。

如图5所示，本发明实施例的恶意行为检测及判定方法，包括如下步骤：

S101：云服务器收集应用程序的应用行为数据，根据应用行为数据获取恶意行为特征数据并更新至移动终端。

云服务器为了提供预先(并非在应用程序运行时)判断应用程序可疑行为的功能所需要的数据，可通过以下两种方式来获取应用行为数据：

(1)对应用程序进行测试以获取应用程序的应用行为数据，并将应用行为数据更新至云服务器。具体地，依赖于应用审核小组，将其工作范围扩大到对所有新增、热门应用进行深度测试，预先收集应用程序的行为，然后更新这些数据到云服务器中。

(2)移动终端将应用程序的应用行为数据同步至云服务器200。所有用户的移动终端上收集到的应用行为数据(不包括用户隐私数据)，会不定时同步到云服务器，而利用云服务器持续积累的应用行为信息，同时又可以持续更新用户移动终端中的数据。

S102：移动终端监控应用程序对敏感资源的访问以获得应用程序的行为数据并根据行为数据获得所述应用程序对应的敏感行为，以及将敏感行为与预设的恶意行为模型进行匹配以判断敏感行为是否为可疑行为。其中，敏感资源为恶意行为对应的应用程序访问的资源，恶意行为模型根据恶意行为特征数据建立。

移动终端监控应用程序对敏感资源的访问以获得应用程序的行为数据。为实现敏感资源API访问的监测。

在本发明的一个实施例中，敏感资源包括短信、通话记录、网上浏览记录、网站登陆账户密码等隐私数据、SIM卡信息、IMEI、GPS信息等。

根据监控到的行为数据获得应用程序对敏感资源的敏感行为。具体地，收集、管理监测到的信息，并将监测到的信息抽象生成一个与敏感资源对应敏感行为(action)。

在采集的过程中，移动终端的应用行为采集中心将一系列的API的访问映射到一个具体的高层的动作上，并将该动作通报给移动终端的应用行为分析中心以使自动机的状态得以跳转，其中，一个动作实际上就对应着自动机的一个状态。由此，利用应用行为采集模块130采集得到敏感行为，从而可以便于后续的统计分析。

移动终端的应用行为数据库存储检测的敏感行为。对于需要统计的行为信息，都会存储到应用行为数据库内。并且，应用行为数据库还可以对外向应用行为分析中心和应用安全中心提供数据。

在本发明的一个实施例中，还包括如下步骤：应用行为数据库创建敏感行为的索引表，其中，应用行为分析中心和应用安全中心通过索引表查询及调用敏感行为。

应用行为分析中心根据采集的敏感行为，并调用移动终端的恶意行为特征模型库中的恶意行为模型，以及将敏感行为与恶意行为模型进行匹配，分析当前某个程序执行的操作是否与某个行为模型相符，以判断敏感行为对应的行为是否为可疑行为。判断过程通过将所有的可疑行为模型抽象为一个个有限状态自动机来进行维护，达到鉴定可疑行为的目的。

在本发明的一个实施例中，敏感行为包括多个敏感动作，多个敏感动作之间具有执行顺序，如果应用行为分析中心检测敏感行为同时包括多个敏感动作且具有相同的执行顺序，则判断为可疑行为。

恶意行为建模是基于细分的权限来建模的。一项细分的权限可以对应到应用程序的一个细节的敏感操作，应用程序一系列按顺序执行的敏感操作，才能实现应用程序的完整的意图。换言之，一项可疑行为可以通过定义若干项敏感操作的顺序、状态和其它相关数据，来建立一个描述和定义该项恶意行为的模型。移动终端的操作系统可以通过将应用程序敏感操作序列与恶意行为模型进行匹配，来识别应用程序的可疑行为。

通过深入敏感资资源管理的具体业务逻辑，对敏感资源的分类进行细化划分，便于对应用程序的更具体、细化的敏感资源访问操作进行识别并记录相关信息，同时也可以对更细化分类的资源进行访问控制。

下面对将敏感行为与恶意行为模型进行匹配的过程进行描述。

如果一个可疑行为的恶意行为模型中定义的所有关键操作的最后一个操作得以完成，则说明该可疑行为发生了。通过对应用程序的敏感动作进行统计分析，将应用程序的敏感动作序列与恶意行为模型定义的操作序列进行匹配，如果匹配得上，则说明该应用程序发了可疑行为，该可疑行为即是需要用户做进一步判定才能确定的恶意行为。每个用户对可疑行为的判定结果可能不一样，所以同一个应用程序的同一个行为对于不同用户来说，可能是或者不是恶意行为。但是，只要用户关注这个行为，该行为即是可疑行为。

移动终端的恶意行为特征模型库存储系统中所有的恶意行为模型。恶意行为特征模型库中存储的行为特征模型都是经过加工，应用行为分析中心直接使用的数据。

在本发明的一个实施例中，恶意行为特征模型库中存储的所述恶意行为模型通过以下一种或多种方式建立：

(1)移动终端的操作系统内置恶意行为模型的特征，换言之移动终端的Yi平台内置恶意行为模型；

(2)移动终端从云服务器动态更新下载恶意型行为模型的特征，换言之云平台动态更新恶意行为模型；

(3)移动终端的用户自定义恶意行为模型的特征。

S103：移动终端将敏感行为判断为可疑行为之后，以恶意程度对敏感行为所对应的应用程序访问进行排序，并设置该应用程序访问的警告级别。

如果判断敏感行为为非可疑行为，则对敏感行为配置许可策略，并提示移动终端的用户许可所述敏感行为的访问。

如果判断敏感行为为可疑行为，则对敏感行为配置警告策略，并提示移动终端的用户选择性的禁止敏感行为的访问。

根据本发明实施例的恶意行为检测及判定方法，本发明可以在应用程序执行到用户所关心的可能造成利益损害的可疑行为时，实时的提示和告知用户，并且用户可在任何时候查看到用户所关心的应用程序可疑行为的具体操作流程，便于用户判断该可疑行为是否真的会损害到自己的利益，进而做出更有效的许可授权。本发明使得用户可以针对某项可疑行为对应用程序进行执行许可设置，而不是对权限的许可进行设置。用户设置的是一项或者多项完整的行为是否可以被某个应用程序执行，而不仅仅是设置一个或者多个权限对应的资源是否允许被某个应用程序访问。对于一项完整的应用程序行为，用户可以更好理解应用程序的意图，于是用户也更容易知道是否该做允许或者禁止该行为被某个应用程序执行。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，″计算机可读介质″可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同限定。

Claims (20)

1.一种移动终端，其特征在于，包括：

恶意行为特征模型库，用于存储恶意行为模型；

敏感资源监控模块，用于监控应用程序对敏感资源的访问以获得所述应用程序的行为数据；

应用行为采集模块，用于根据所述敏感资源监控模块监控到的所述行为数据获得所述应用程序对所述敏感资源的敏感行为；

应用行为数据库，用于存储所述行为采集模块检测的所述敏感行为；

应用行为分析中心，用于接收来自所述行为采集模块的所述敏感行为，并调用所述恶意行为特征模型库中的恶意行为模型，以及将所述敏感行为与所述恶意行为模型进行匹配以判断所述敏感行为对应的行为是否为可疑行为；以及

应用安全中心，用于查询所述应用行为数据库中存储的所述敏感行为，以及当判断所述敏感行为为可疑行为后，以恶意程度对所述敏感行为所对应的应用程序访问进行排序，并设置所述应用程序访问的警告级别。

2.如权利要求1所述的移动终端，其特征在于，所述敏感资源包括短信、用户身份识别SIM卡信息、设备号或全球定位系统GPS信息。

3.如权利要求1所述的移动终端，其特征在于，所述应用行为数据库，还用于创建所述敏感行为的索引表，所述应用行为分析中心和所述应用安全中心通过所述索引表查询及调用所述敏感行为。

4.如权利要求1所述的移动终端，其特征在于，所述恶意行为特征模型库中存储的所述恶意行为模型通过以下一种或多种方式获取：

所述移动终端的操作系统内置所述恶意行为模型的特征；

所述移动终端从云服务器动态更新下载所述恶意型行为模型的特征；

所述移动终端的用户自定义所述恶意行为模型的特征。

5.如权利要求1所述的移动终端，其特征在于，所述敏感行为包括多个敏感动作，所述多个敏感动作之间具有执行顺序，如果所述应用行为分析中心检测所述敏感行为同时包括所述多个敏感动作且具有相同的执行顺序，则判断为可疑行为。

6.如权利要求1所述的移动终端，其特征在于，所述应用安全中心包括：

查询模块，所述查询模块与所述应用行为数据库相连，用于查询所述敏感行为的信息；以及

排序模块，所述排序模块与所述应用行为分析中心相连，用于根据所述应用行为分析中心的分析结果对所述敏感行为对应的应用程序访问进行排序，并设置所述敏感行为的警告级别。

7.如权利要求6所述的移动终端，其特征在于，所述敏感行为的信息包括：所述敏感行为的名称、描述、定义以及所述关键操作信息。

8.如权利要求7所述的移动终端，其特征在于，所述关键操作信息包括所述敏感行为的执行时间、执行顺序以及用户敏感数据。

9.如权利要求6-8中任一项所述的移动终端，其特征在于，所述应用安全中心还包括：

用户自定义模块，所述用户自定义模块与所述恶意行为特征模型库相连，用于由所述移动终端的自定义所述可疑行为的特征，并同步至所述恶意行为特征模型库。

10.如权利要求6-9中任一项所述的移动终端，其特征在于，所述应用安全中心还包括：

配置模块，所述配置模块与所述应用行为分析中心相连，用于根据所述应用行为分析中心的分析结果配置所述敏感行为的许可策略或警告策略；和

提示模块，所述提示模块与所述配置模块相连，用于将所述许可策略或所述警告策略提示给所述移动终端的用户。

11.一种可疑行为检测及判定系统，其特征在于，包括：

云服务器，用于收集应用程序的应用行为数据，并根据所述应用行为数据获取可疑行为特征数据；以及

如权利要求1-10中任一项所述的移动终端，用于同步所述云服务器的所述可疑行为特征数据，并根据所述可疑行为特征数据判断所述移动终端内部执行的所述敏感行为是否为可疑行为。

12.如权利要求11所述的可疑行为检测及判定系统，其特征在于，所述云服务器通过以下两种方式之一获取所述应用行为数据：

(1)对应用程序进行测试以获取所述应用程序的应用行为数据，并将所述应用行为数据更新至所述云服务器；

(2)所述移动终端将所述应用程序的应用行为数据同步至所述云服务器。

13.如权利要求12所述的可疑行为检测及判定系统，其特征在于，所述云服务器包括：

接收模块，用于接收来自所述用户或所述移动终端的所述应用行为数据；

分析模块，用于对所述应用行为数据进行分析以获取所述可疑行为特征数据；以及

发送模块，用于将所述可疑行为特征数据发送至所述移动终端。

14.如权利要求13所述的可疑行为检测及判定系统，其特征在于，所述应用行为数据包括：所述应用程序的名称、包括的敏感动作、执行时间、所述敏感动作的执行顺序。

15.一种可疑行为检测及判定方法，其特征在于，包括如下步骤：

云服务器收集应用程序的应用行为数据，根据所述应用行为数据获取可疑行为特征数据并更新至移动终端；以及

所述移动终端监控应用程序对敏感资源的访问以获得所述应用程序的行为数据并根据所述行为数据获得所述应用程序对应的敏感行为，以及将所述敏感行为与预设的恶意行为模型进行匹配以判断所述敏感行为是否为可疑行为，其中，所述敏感资源为可疑行为对应的应用程序访问的资源，所述恶意行为模型根据所述可疑行为特征数据建立；以及

所述移动终端在判断所述敏感行为为可疑行为后，以恶意程度对所述敏感行为所对应的应用程序访问进行排序，并设置所述应用程序访问的警告级别。

16.如权利要求15所述的可疑行为检测及判定方法，其特征在于，所述敏感资源包括短信、用户身份识别SIM卡信息、设备号及全球定位系统GPS信息。

17.如权利要求15所述的可疑行为检测及判定方法，其特征在于，还包括如下步骤：创建所述敏感行为的索引表，通过所述索引表查询及调用所述敏感行为。

18.如权利要求17所述的可疑行为检测及判定方法，其特征在于，所述敏感行为包括多个敏感动作，所述多个敏感动作之间具有执行顺序，如果所述移动终端检测所述敏感行为同时包括所述多个敏感动作且具有相同的执行顺序，则判断为可疑行为。

19.如权利要求15所述的可疑行为检测及判定方法，其特征在于，所述多种恶意行为模型还通过以下方式中的一种或多种建立：

由所述移动终端的用户自定义所述恶意行为特征；

由所述移动终端的操作系统内置所述恶意行为特征。

20.如权利要求15-19任一项所述的可疑行为检测及判定方法，其特征在于，还包括如下步骤：

如果判断所述敏感行为为非可疑行为，则对所述敏感行为配置许可策略，并提示所述移动终端的用户许可所述敏感行为的访问；

如果判断所述敏感行为为可疑行为，则对所述敏感行为配置警告策略，并提示所述移动终端的用户选择性的禁止所述敏感行为的访问。

Images