CN103413091B - 恶意行为的监控方法及装置 - Google Patents

Abstract

本发明公开了一种恶意行为的监控方法及装置，属于监控领域。所述方法包括：检测是否有事件被触发；若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为；若检测到该事件符合行为列表中的行为，将行为与行为库中预先存储的恶意行为进行匹配；若行为与行为库中预先存储的恶意行为相匹配，则判定行为为恶意行为，被检测到的事件为恶意事件；对恶意行为中的恶意事件进行拦截。本发明通过采用自动对恶意行为中的恶意事件进行拦截的方式，从而使得在恶意行为监控过程中，能够自动对恶意行为进行有效、快速识别并实时拦截。

Description

恶意行为的监控方法及装置

技术领域

本发明涉及监控技术领域，特别涉及一种对恶意行为进行监控的方法及装置。

背景技术

目前，随着电子技术和互联网技术的飞速发展，各种电子设备诸如个人电脑、数字电视、手机等成为了获取信息和通讯的重要工具。人们经常使用上述电子设备进行联网、发短信、打电话等操作，这些操作称为事件，而一系列事件的组合又称为行为，即行为可以是由开始事件和结束事件所组成的一系列连续的事件。以手机在锁定状态下发送短信为例进行说明，则手机发送短信为事件，而手机被锁定、及发送短信这两个事件就组成了行为。为了确保行为没有恶意性，目前均需要对行为进行实时监控，例如，用户在系统界面下编辑短信并发送，这种发送短信的行为我们认为是正常的。但是手机在锁屏状态下发送短信的行为就会被认为不正常的，属于恶意的行为。

现有的恶意行为监控方法大都对每一事件进行监控，然后询问用户，此事件是否允许执行等。例如若监控到手机发送短信或联网，则询问用户是否允许发送短信或联网。上述将所有事件都进行询问的恶意行为的监控方法，比较繁琐，因为有些事件是在正常的情况下，例如用户在使用系统短信编辑工具发送短信，此时再提示用户是否允许发送短信就没必要了，并且现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截。

发明内容

本发明提供一种恶意行为的监控方法及装置，以解决现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截等问题。

具体地，本发明实施例提供了一种恶意行为的监控方法，所述方法，包括：检测是否有事件被触发；若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为；若检测到该事件符合行为列表中的行为，将行为与行为库中预先存储的恶意行为进行匹配；若行为与行为库中预先存储的恶意行为相匹配，则判定行为为恶意行为，被检测到的事件为恶意事件；对恶意行为中的恶意事件进行拦截。

另外，本发明实施例提供了一种恶意行为的监控装置，所述恶意行为的监控装置，包括：检测模块、第一匹配模块、第二匹配模块以及拦截模块，检测模块，用于检测是否有事件被触发；第一匹配模块，用于若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为；第二匹配模块，用于若检测到该事件符合行为列表中的行为，将行为与行为库中预先存储的恶意行为进行匹配；拦截模块，用于若行为与行为库中预先存储的恶意行为相匹配，则判定行为为恶意行为，被检测到的事件为恶意事件，对恶意行为中的恶意事件进行拦截。

本发明实施例提供的技术方案带来的有益效果是：

通过在检测到的事件符合行为列表中的行为，则将此行为与行为库中预先存储的恶意行为进行匹配；若相匹配，则判定此行为为恶意行为，被检测到的事件为恶意事件，并对此恶意行为中的恶意事件进行拦截。解决了现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截等问题，采用自动对恶意行为中的恶意事件进行拦截的方式，从而使得在恶意行为监控过程中，能够自动对恶意行为进行有效、快速识别并实时拦截。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1是本发明一个实施例提供的恶意行为的监控方法的作业流程图；

图2A是本发明另一个实施例提供的恶意行为的监控方法的作业流程图；

图2B是在锁屏的状态下发送短信的行为中事件的信息显示示意图；

图3是本发明一个实施例提供的恶意行为的监控装置的主要架构框图；

图4是本发明另一个实施例提供的恶意行为的监控装置的主要架构框图；

图5是一种终端的结构框图。

具体实施方式

为更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明提出的恶意行为的监控方法及装置其具体实施方式、结构、特征及功效，详细说明如后。

有关本发明的前述及其他技术内容、特点及功效，在以下配合参考图式的较佳实施例详细说明中将可清楚的呈现。通过具体实施方式的说明，当可对本发明为达成预定目的所采取的技术手段及功效得以更加深入且具体的了解，然而所附图式仅是提供参考与说明之用，并非用来对本发明加以限制。

请参考图1，其示出了本发明一个实施例提供的恶意行为的监控方法的作业流程图。所述恶意行为的监控方法，可包括以下步骤101-109：

步骤101，检测是否有事件被触发。

本实施例中，所述事件可以包括锁屏、拨打电话、发送短信、发送邮件等事件。

锁屏事件可以由用户按下锁屏按键而将手机、电脑等电子设备的显示屏进行锁定而触发，或者由系统自动对显示屏进行锁定而触发。

步骤103，若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为。

步骤105，若检测到该事件符合行为列表中的行为，将此行为与行为库中预先存储的恶意行为进行匹配。

恶意行为可以包括在锁屏的状态下发送短信的行为、发送短信的次数高于预设值的行为、连接非法网站的行为等。

在锁屏的状态下发送短信的行为例如可以由锁屏、获取发送短信地址及发送短信事件组成。

发送短信的次数高于预设值的行为例如可以由获取发送短信地址及多个发送短信事件组成。

连接非法网站的行为例如可以由联网、连接非法网站事件组成。

步骤107，若行为与行为库中预先存储的恶意行为相匹配，判定此行为为恶意行为，被检测到的事件为恶意事件。

步骤109，对恶意行为中的恶意事件进行拦截。

对此行为中的恶意事件进行拦截即中止此恶意行为的发生。举例说明，若此恶意行为是连接非法网站的行为，则对此恶意行为中的恶意事件进行拦截的方法可以为禁止连接非法网站这一恶意事件，即可以中断与非法网站的连接。

综上所述，本实施例提供的恶意行为的监控方法，通过在检测到的事件符合行为列表中的行为，则将此行为与行为库中预先存储的恶意行为进行匹配；若相匹配，则判定此行为为恶意行为，被检测到的事件为恶意事件，并对此恶意行为中的恶意事件进行拦截。解决了现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截等问题，采用自动对恶意行为中的恶意事件进行拦截的方式，从而使得在恶意行为监控过程中，能够自动对恶意行为进行有效、快速识别并实时拦截。

请参考图2A，其示出了本发明另一个实施例提供的恶意行为的监控方法的作业流程图。图2A是在图1的基础上改进而来的。所述恶意行为的监控方法，可包括以下步骤201-211：

步骤201，检测是否有事件被触发，若检测到事件被触发，则进行步骤203，若否，则继续进行步骤201。

事件可以包括锁屏、拨打电话、发送短信、发送邮件等事件。

锁屏事件可以由用户按下锁屏按键而将手机、电脑等电子设备的显示屏进行锁定而触发，或者由系统自动对显示屏进行锁定而触发。

步骤203，若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为，若是，则进行步骤205，若否，则继续进行步骤201。

优选地，步骤203中，在判断检测到的事件是否符合行为列表中的行为时可以包括：预先存储行为列表中各行为的事件信息，例如事件的具体描述信息，若检测到的事件与行为列表中的行为的事件信息相匹配，则判定为检测到的事件符合所述行为。

优选地，步骤203中，还可包括：当在预设时间段内检测到至少两个事件被触发时，将该至少两个事件进行累加，以得到事件的组合，将事件的组合与行为列表中的各行为进行比对，并判断事件的组合是否符合行为列表中的行为。预设时间可以为任意值。举例说明，若在预设时间段内的第一时间检测到事件A，在第二时间检测到事件B，则将事件A和事件B进行累加，得到事件的组合为事件A和B，然后将事件的组合A和B与行为列表中的各行为进行比对。

判断检测到的事件的组合是否符合行为列表中的行为仍可以采用上述方法。举例说明，若预先存储的行为列表中的一个在锁屏的状态下发送短信的行为由锁屏、获取发送短信地址、及发送短信事件组成，则若得到的事件的组合为锁屏、获取发送短信地址、及发送短信时，则所得到的事件的组合与预先存储的一个在锁屏的状态下发送短信的行为中的事件信息相匹配，则判定为检测到的事件的组合符合所述行为。

步骤205，若检测到该事件符合行为列表中的行为，则将此行为与行为库中预先存储的恶意行为进行匹配，并判断两者是否相匹配，若相匹配，则进行步骤207。

恶意行为可以包括在锁屏的状态下发送短信的行为、发送短信的次数高于预设值的行为、连接非法网站的行为等。

在锁屏的状态下发送短信的行为例如可以由锁屏、获取发送短信地址及发送短信事件组成。

发送短信的次数高于预设值的行为例如可以由获取发送短信地址及多个发送短信事件组成。

连接非法网站的行为例如可以由联网、连接非法网站事件组成。

优选地，步骤205中，还可包括：若否，则进行步骤201。

优选地，步骤205中，还可包括：若事件的组合符合行为列表中的行为，将行为与行为库中预先存储的恶意行为进行匹配。

步骤207，判定此行为为恶意行为，被检测到的事件为恶意事件。

优选地，步骤207中，还可包括：若所述行为与行为库中预先存储的恶意行为相匹配，则判定所述行为为恶意行为，所述事件的组合中存在恶意事件。

步骤209，对此恶意行为中的恶意事件进行拦截。

对此恶意行为中的恶意事件进行拦截即中止此恶意行为的发生。举例说明，若此恶意行为是连接非法网站的行为，则对此恶意行为中的恶意事件进行拦截的方法可以为禁止连接非法网站这一恶意事件，即可以中断与非法网站的连接。

每一恶意行为中均可以预先设定哪一事件为恶意事件，则对恶意行为中的恶意事件进行拦截即拦截恶意行为中预先设定的恶意事件。举例说明，若恶意行为为连接非法网站的行为，而连接非法网站的行为由联网、连接非法网站事件组成，则拦截此恶意行为中的恶意事件即拦截此恶意行为中的连接非法网站事件。

优选地，步骤209后，还可包括：

步骤211，显示被拦截的恶意行为中恶意事件所对应的事件信息，以提示用户。

恶意行为的监控装置可以在显示屏上显示被拦截的恶意行为中恶意事件所对应的事件信息。

被拦截的恶意行为中恶意事件所对应的事件信息，例如可以为恶意事件发生的时间、恶意事件发生的次数等信息。以被拦截的恶意行为是在锁屏的状态下发送短信这一恶意行为为例，则被拦截的恶意行为中恶意事件所对应的事件信息可以为锁屏的时间、发送短信的时间、接收短信方的手机号码、发送短信的次数等信息。如图2B所示，其为显示在终端的显示屏上的在锁屏的状态下发送短信的恶意行为中恶意事件所对应的事件信息。

综上所述，本实施例提供的恶意行为的监控方法，通过在检测到的事件符合行为列表中的行为，则将此行为与行为库中预先存储的恶意行为进行匹配；若相匹配，则判定此行为为恶意行为，被检测到的事件为恶意事件，并对此恶意行为中的恶意事件进行拦截。解决了现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截等问题，采用自动对恶意行为中的恶意事件进行拦截的方式，从而使得在恶意行为监控过程中，能够自动对恶意行为进行有效、快速识别并实时拦截。

此外，本实施例还通过实时显示恶意行为中恶意事件的信息，以提示用户。从而方便查看被拦截的恶意行为中的恶意事件信息。

以下为本发明的装置实施例，在装置实施例中未详尽描述的细节，可以参考上述对应的方法实施例。

请参考图3，其示出了本发明一个实施例提供的恶意行为的监控装置的主要架构框图。所述恶意行为的监控装置，包括：检测模块301、第一匹配模块303、第二匹配模块305、以及拦截模块307。

具体地，检测模块301，用于检测是否有事件被触发；

第一匹配模块303，用于若检测到事件被触发，将检测到的事件与行为列表中的各行为进行比对，并判断检测到的事件是否符合行为列表中的行为；

优选地，第一匹配模块303，还用于当在预设时间段内检测到至少两个事件被触发时，将该至少两个事件进行累加，以得到事件的组合，将事件的组合与行为列表中的各行为进行比对，并判断检测到的事件的组合是否符合行为列表中的行为。

第二匹配模块305，用于若检测到该事件符合行为列表中的行为，将此行为与行为库中预先存储的恶意行为进行匹配；

恶意行为可以包括在锁屏的状态下发送短信的行为、发送短信的次数高于预设值的行为、或连接非法网站的行为。

优选地，第二匹配模块305，还用于若此行为与行为库中预先存储的恶意行为不相匹配，则继续进行检测模块301中的检测是否有事件被触发的步骤。

优选地，第二匹配模块305，还用于若检测到事件的组合符合行为列表中的行为，将所述行为与行为库中预先存储的恶意行为进行匹配。优选地，第一匹配模块303，还用于预先存储行为列表中各行为的事件信息，若检测到的事件与行为列表中的行为的事件信息相匹配，则判定为检测到的事件符合所述行为。

拦截模块307，用于若此行为与行为库中预先存储的恶意行为相匹配，则判定此行为为恶意行为，被检测到的事件为恶意事件，对此恶意行为中的恶意事件进行拦截。

优选地，拦截模块307，还用于若所述行为与行为库中预先存储的恶意行为相匹配，则判定所述行为为恶意行为，事件的组合中存在恶意事件，对恶意行为中的恶意事件进行拦截。

综上所述，本实施例提供的恶意行为的监控装置，通过在检测到的事件符合行为列表中的行为，则将此行为与行为库中预先存储的恶意行为进行匹配；若相匹配，则判定此行为为恶意行为，被检测到的事件为恶意事件，并对此恶意行为中的恶意事件进行拦截。解决了现有的恶意行为监控方法不能自动对恶意行为进行有效识别并实时拦截等问题，采用自动对恶意行为中的恶意事件进行拦截的方式，从而使得在恶意行为监控过程中，能够自动对恶意行为进行有效、快速识别并实时拦截。

请参考图4，其示出了本发明另一个实施例提供的恶意行为的监控装置的主要架构框图。其与图3所示的恶意行为的监控装置相似，其不同之处在于，还包括：显示模块401。

显示模块401，用于显示被拦截的恶意行为中恶意事件所对应的事件信息，以提示用户。

综上所述，本实施例提供的恶意行为的监控装置，还通过实时显示恶意行为中恶意事件所对应的事件信息，以提示用户。从而方便查看被拦截的恶意行为中的恶意事件信息。

请参考图5，其示出了一种终端的结构框图。如图5所示，以恶意行为的监控装置运行在终端上作为示例，终端包括存储器502、存储控制器504，一个或多个（图中仅示出一个）处理器506、外设接口508、射频模块510、摄像模块514、音频模块516、触控屏幕518以及按键模块520。这些组件通过一条或多条通讯总线/信号线相互通讯。

可以理解，图5所示的结构仅为示意，终端还可包括比图5中所示更多或者更少的组件，或者具有与图5所示不同的配置。图5中所示的各组件可以采用硬件、软件或其组合实现。

存储器502作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行指令、以及模块，如本发明实施例中的在终端内进行恶意行为的监控方法对应的程序指令/模块（例如，恶意行为的监控装置中的检测模块301、第一匹配模块303、匹配模块305、拦截模块307、显示模块401），处理器502通过运行存储在存储器504内的软件程序、指令以及模块，从而执行各种功能应用以及数据处理，即实现上述的在终端内进行恶意行为的监控方法。

存储器502可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器502可进一步包括相对于处理器506远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。处理器506以及其他可能的组件对存储器502的访问可在存储控制器504的控制下进行。

外设接口508将各种输入/输入装置耦合至CPU以及存储器502。处理器506运行存储器502内的各种软件、指令以执行终端的各种功能以及进行数据处理。

在一些实施例中，外设接口508，处理器506以及存储控制器504可以在单个芯片中实现。在其他一些实例中，他们可以分别由独立的芯片实现。

射频模块510用于接收以及发送电磁波，实现电磁波与电信号的相互转换，从而与通讯网络或者其他设备进行通讯。射频模块510可包括各种现有的用于执行这些功能的电路元件，例如，天线、射频收发器、数字信号处理器、加密/解密芯片、用户身份模块（SIM）卡、存储器等等。射频模块510可与各种网络如互联网、企业内部网、无线网络进行通讯或者通过无线网络与其他设备进行通讯。上述的无线网络可包括蜂窝式电话网、无线局域网或者城域网。上述的无线网络可以使用各种通信标准、协议及技术，包括但并不限于全球移动通信系统（GlobalSystemforMobileCommunication,GSM）、增强型移动通信技术（EnhancedDataGSMEnvironment,EDGE),宽带码分多址技术（widebandcodedivisionmultipleaccess,W-CDMA），码分多址技术（Codedivisionaccess,CDMA）、时分多址技术（timedivisionmultipleaccess,TDMA），蓝牙，无线保真技术（Wireless,Fidelity，WiFi）（如美国电气和电子工程师协会标准IEEE802.11a，IEEE802.11b,IEEE802.11g和/或IEEE802.11n）、网络电话（Voiceoverinternetprotocal,VoIP）、全球微波互联接入（WorldwideInteroperabilityforMicrowaveAccess，Wi-Max）、其他用于邮件、即时通讯及短消息的协议，以及任何其他合适的通讯协议，甚至可包括那些当前仍未被开发出来的协议。

摄像模块514用于拍摄照片或者视频。拍摄的照片或者视频可以存储至存储器502内，并可通过射频模块510发送。

音频模块516向用户提供音频接口，其可包括一个或多个麦克风、一个或者多个扬声器以及音频电路。音频电路从外设接口508处接收声音数据，将声音数据转换为电信息，将电信息传输至扬声器。扬声器将电信息转换为人耳能听到的声波。音频电路还从麦克风处接收电信息，将电信号转换为声音数据，并将声音数据传输至外设接口508中以进行进一步的处理。音频数据可以从存储器502处或者通过射频模块510获取。此外，音频数据也可以存储至存储器502中或者通过射频模块510进行发送。在一些实例中，音频模块516还可包括一个耳机播孔，用于向耳机或者其他设备提供音频接口。

触控屏幕518在终端与用户之间同时提供一个输出及输入界面。具体地，触控屏幕518向用户显示视频输出，这些视频输出的内容可包括文字、图形、视频、及其任意组合。一些输出结果是对应于一些用户界面对象。触控屏幕518还接收用户的输入，例如用户的点击、滑动等手势操作，以便用户界面对象对这些用户的输入做出响应。检测用户输入的技术可以是基于电阻式、电容式或者其他任意可能的触控检测技术。触控屏幕518显示单元的具体实例包括但并不限于液晶显示器或发光聚合物显示器。

按键模块520同样提供用户向终端进行输入的接口，用户可以通过按下不同的按键以使终端执行不同的功能。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (10)

1.一种恶意行为的监控方法，其特征在于，所述方法包括：

检测是否有事件被触发；

当在预设时间段内检测到至少两个事件被触发时，将该至少两个事件进行累加，以得到事件的组合，将所述事件的组合与行为列表中的各行为进行比对，并判断事件的组合是否符合所述行为列表中的行为；

若事件的组合符合所述行为列表中的行为，将所述行为与行为库中预先存储的恶意行为进行匹配；

若所述行为与行为库中预先存储的恶意行为相匹配，则判定所述行为为恶意行为，所述事件的组合中存在恶意事件；

对所述恶意行为中的恶意事件进行拦截。

2.根据权利要求1所述的恶意行为的监控方法，其特征在于，将所述行为与行为库中预先存储的恶意行为进行匹配之后，还包括：

若所述行为与行为库中预先存储的恶意行为不相匹配，则继续进行检测是否有事件被触发的步骤。

3.根据权利要求1所述的恶意行为的监控方法，其特征在于，判断事件的组合是否符合所述行为列表中的行为，包括：

预先存储行为列表中各行为的事件信息，若事件的组合与所述行为列表中的行为的事件信息相匹配，则判定为事件的组合符合所述行为。

4.根据权利要求1所述的恶意行为的监控方法，其特征在于，对所述恶意行为中的恶意事件进行拦截之后，还包括：

显示被拦截的恶意行为中恶意事件所对应的事件信息，以提示用户。

5.根据权利要求1所述的恶意行为的监控方法，其特征在于，所述恶意行为包括在锁屏的状态下发送短信的行为、发送短信的次数高于预设值的行为、或连接非法网站的行为。

6.一种恶意行为的监控装置，其特征在于，所述恶意行为的监控装置，包括：

检测模块，用于检测是否有事件被触发；

第一匹配模块，用于当在预设时间段内检测到至少两个事件被触发时，将该至少两个事件进行累加，以得到事件的组合，将所述事件的组合与行为列表中的各行为进行比对，并判断事件的组合是否符合所述行为列表中的行为；

第二匹配模块，用于若事件的组合符合所述行为列表中的行为，将所述行为与行为库中预先存储的恶意行为进行匹配；

拦截模块，用于若所述行为与行为库中预先存储的恶意行为相匹配，则判定所述行为为恶意行为，所述事件的组合中存在恶意事件，对所述恶意行为中的恶意事件进行拦截。

7.根据权利要求6所述的恶意行为的监控装置，其特征在于，所述匹配模块，还用于若所述行为与行为库中预先存储的恶意行为不相匹配，则继续进行所述检测模块中的检测是否有事件被触发的步骤。

8.根据权利要求6所述的恶意行为的监控装置，其特征在于，所述第一匹配模块，还用于预先存储行为列表中各行为的事件信息，若事件的组合与所述行为列表中的行为的事件信息相匹配，则判定为事件的组合符合所述行为。

9.根据权利要求6所述的恶意行为的监控装置，其特征在于，所述恶意行为的监控装置，还包括：

显示模块，用于显示被拦截的恶意行为中恶意事件所对应的事件信息，以提示用户。

10.根据权利要求6所述的恶意行为的监控装置，其特征在于，所述恶意行为包括在锁屏的状态下发送短信的行为、发送短信的次数高于预设值的行为、或连接非法网站的行为。