CN103916858B - 一种移动终端健康度判定方法及装置 - Google Patents

Abstract

本发明提供一种移动终端健康度判定方法及装置，该方法包括：选定至少一种类型的移动终端网络侧异常通信行为；将一连续时间跨度分为若干时间段；确定每种类型的异常通信行为的发生次数在每一时间段内的分布情况；根据每种类型的异常通信行为的分布情况，计算对应于每种类型的异常通信行为的移动终端健康度；根据每种类型的异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；其中，每一时间段内的异常通信行为的发生次数越多，移动终端健康度越大；发生异常通信行为的时间段越靠近设定截止时间点，移动终端健康度越大；发生异常通信行为的时间段的数量越多，移动终端健康度越大。上述方案可对移动终端健康度进行及时、准确地判定。

Description

一种移动终端健康度判定方法及装置

技术领域

本发明涉及移动通信、数据和终端安全以及移动数据业务技术领域，尤其涉及一种移动终端健康度判定方法及装置。

背景技术

近年来，涉及手机后门、手机病毒的安全事件频频出现，给用户带来了信息泄露、话费丢失，网络质量感知差等危害；同时给移动运营商带来无线资源和网络资源被大量占用，异常网络投诉增多的危害。研究和清除上述危害势在必行，首先任务是找到疑似受影响用户——即疑似中毒的移动终端，这要求有可靠的判定移动终端健康度的模型和方法。移动终端健康度的定义为：介于0~100%的概率值，表明移动终端受病毒、后门危害的程度，值越大表明移动终端受危害的可能性越大。

目前，对于移动终端健康度已有多种判定方法，比较通用的方法是针对病毒特征码的扫描，即通过对已确认的移动终端恶意软件提取特征码，然后以此特征码为依据去扫描检测其他终端来判定终端是否健康。也有基于对移动终端应用程序进行API检测的方法：解析应用程序调用的API，如有敏感的如发送短信、联网的API调研出现，则说明移动终端有中毒嫌疑。此类为静态的扫描法。

此外，还有基于行为的动态判定方法：如美国专利“US20100011209”介绍了一种检测终端侧应用程序动态行为的方法，通过对各种应用程序建立预期行为数据库，然后动态监测获取应用程序的动态行为并与预期行为进行对比，最终发现差异来判断的方法。此外，还有一种动态截获网络侧数据流，然后通过对数据流扫描病毒特征码判定移动终端是否感染恶意软件的方法。

现有的判定方法存在如下缺陷：

一、依赖已知病毒的特征码进行判定，对于未知病毒和新增病毒难以快速判定，效率较低;

二、依赖已知病毒的特征码进行判定，对于未知病毒和新增病毒无法判定，判定覆盖率低；

三、基于API的静态判定和扫描和基于数据流的分析无法区分善意和恶意行为，判定准确度低；

四、在移动终端侧进行判定，易受待判定移动终端上的恶意软件干扰；

五、在终端侧进行判定，收集数据和升级困难，扩展能力差。

发明内容

本发明的目的就是提供一种移动终端健康度判定方法及装置，基于网络侧行为数据对移动终端健康度进行及时、准确的判定。

为了解决上述问题，本发明所提供的技术方案如下：

一种移动终端健康度判定方法，包括：

选定至少一种类型的移动终端网络侧异常通信行为；

将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度；

根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；

其中，每一所述时间段内的网络侧异常通信行为的发生次数越多，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段的数量越多，移动终端健康度越大。

优选的，所述方法中，根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度，具体采用如下关系式进行计算：

其中，p表示每种类型的网络侧通信异常行为对应的移动终端健康度；

m表示所述连续时间跨度，m=1,2,3……；

k表示所述时间段所在的排序号，k=1,2,3……；

R_k表示对应于所述时间段内的相应类型的网络侧异常通信行为的发生次数，R_k=0,1,2,3……。

优选的，所述方法中，当选定的所述网络侧异常通信行为为多种类型的网络侧异常通信行为时，根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；其中，单种类型的网络侧异常通信行为在该多种类型的网络侧异常通信行为中所占权重越大，则针对该类型的网络侧异常通信行为判定得到的移动终端健康度对最终的移动终端健康度的影响越大。

优选的，所述方法中，根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度，具体采用如下关系式进行计算：

其中，P′表示最终的移动终端健康度；

P_n表示针对每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。

优选的，所述网络侧异常通信行为的类型包括：

包含异常特征的移动终端上网请求、包含异常特征的移动终端短信、包含异常特征的移动终端彩信。

优选的，所述异常特征包括符合移动终端imsi特征或手机号码特征的字符串。

本发明还提供了一种移动终端健康度的判定装置，其包括：

选定模块，用于选定至少一种类型的移动终端网络侧异常通信行为；

分段模块，用于将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定模块，用于确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

第一判定模块，用于根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度，并输出与该类型的网络侧异常通信行为所对应的移动终端健康度；

第二判定模块，用于根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算并输出最终的移动终端健康度；

其中，当每一所述时间段内的网络侧异常通信行为的发生次数越多，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段的数量越多，输出的移动终端健康度越大

优选的，所述第一判定模块包括：

第一健康度生成单元，用于根据如下关系式，计算并输出一对应于单种类型的网络侧异常通信行为的移动终端健康度：

其中，p表示每种类型的网络侧通信异常行为对应的移动终端健康度；

m表示所述连续时间跨度，m=1,2,3……；

k表示所述时间段所在的排序号，k=1,2,3……；

R_k表示对应于所述时间段内的相应类型的网络侧异常通信行为的发生次数，R_k=0,1,2,3……。

优选的，所述第二判定模块包括：

第二健康度生成单元，用于当所述网络侧异常通信行为包括多种类型的网络侧异常通信行为时，根据如下关系式，计算并输出一最终的移动终端健康度：

其中，P′表示最终的移动终端健康度；

P_n表示针对每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。

本发明所带来的有益效果如下：

上述方案，基于网络侧采集的用户行为进行分析，在恶意软件传播或发作阶段就能及时发现移动终端异常；并且，不依赖特征码，基于移动终端的网络侧通信行为进行判定，只要移动终端进行异常操作就能发现，能发现已知恶意软件，也能侦测未知病毒，广泛覆盖，效率高；并且，对网络侧异常通信行为进行了基于时间、数量和异常通信行为之间的耦合关系进行判定，判定准确性高；此外，上述方案，不依赖终端侧部署采集，数据来自网络侧数据，不受移动终端及移动终端安装应用的干扰；并且，扩展能力强，可以很方便的加入新类型的网络侧异常通信行为数据进行扩展。

附图说明

图1表示基于单类型的网络侧异常通信行为进行的移动终端健康度判定流程示意图；

图2表示基于多种类型的网络侧异常通信行为进行的移动终端健康度判定流程示意图。

具体实施方式

以下结合附图对本发明的实施例进行详细说明。

移动终端恶意软件会在网络上留下痕迹，收集相关通信行为后，即可根据相关通信行为构建一合适的判定模型，判定用户是否受到手机恶意软件侵害。

本发明的实施例中提供了一种移动终端健康度判定方法，就是基于网络侧行为数据对移动终端进行准确的健康度判定，如图1所示，该判定方法包括：

选定至少一种类型的移动终端网络侧异常通信行为；

将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度；

根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；

其中，每一所述时间段内的网络侧异常通信行为的发生次数越多，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段的数量越多，移动终端健康度越大。

上述方案中，网络侧异常通信行为主要包括：

1）移动终端上网请求中包含特殊关键字，比如符合手机imsi特征或手机号码特征的字符串等；

2）移动终端短信消息中包含特殊关键字，比如符合手机imsi特征或手机号码特征的字符串等；

3）移动终端彩信消息中包含特殊关键字，比如符合手机imsi特征或手机号码特征的字符串等；

4）其他自定义的网络侧异常通信行为。

本发明所提供的上述方案中，基于网络侧用户行为的数据是判定的依据，收集了相关网络侧异常通信行为数据后，重点分析上述行为的以下三个维度信息：

1．上述网络侧异常通信行为在每一时间段内的发生次数，即数量信息；

2．上述网络侧异常通信行为出现的频度信息；

3．上述网络侧异常通信行为相互之间的耦合关系信息。

其中，具体来说，针对单类型的网络侧异常通信行为（如移动终端的异常上网请求行为），则移动终端健康度判定可以通过以下关系式，此处称“判定模型（一）”进行计算：

其中，p表示针对某一单类型的所述网络侧通信异常行为（异常上网请求行为）判定得到的移动终端健康度；

m表示所述连续时间跨度，m=1,2,3……；

k表示所述时间段所在的排序号，k=1,2,3……，其中，最靠近所述截止时间点的时间段的排序号为1，依次类推；

R_k表示对应于所述时间段内的对应类型的所述网络侧异常通信行为的发生次数，R_k=0,1,2,3……。

上述针对单类型的网络侧异常通信行为的判定模型（一）的设计做了如下考虑：网络侧异常通信行为发生的越晚，P值越大；网络侧异常通信行为发生次数越多，P值越大；使用最小比较操作min函数来避免P值超过100%。

上述针对单类型的网络侧异常通信行为的判定模型（一）的计算过程如下：

A)网络侧异常通信行为发生次数越多，移动终端健康度越大，因此，为了平滑某一时间段内的异常通信行为次数对P值带来过大波动，本判定模型中进行了取对数运算，即，计算时间跨度m内每一时间段内的网络侧异常通信行为的次数+1的对数值log₂(R_k+1)，其中，R_k+1是为了避免某一时间段内网络侧异常通信行为的次数为0的特殊情况；

B）该判定模型还体现了时间跨度对模型判定的影响因素，发生网络侧异常通信行为的时间段越靠近截止时间点，对P值的贡献越大，因此，该判定模型中用相应的时间段距离截止时间点的时间差做2的幂运算，即2^m-k，并乘以log₂(R_k+1)；

C）对每一时间段采用上述B)计算得到的值并累加，得到的和再除以2^m-1；

D）取C）计算结果和1的最小值得到单类型的网络侧异常通信行为所对应的P值。

为了方便理解，以下举一具体实例来说明根据上述针对单类型的网络侧异常通信行为的判定模型（一）对移动终端的健康度的判定过程：

首先，选定一种类型的网络侧异常通信行为，比如，选择包含特殊关键字的上网请求行为；

其次，以连续三天内（即时间跨度m=3）该异常上网请求行为作为分析依据；

然后，将连续三天的时间跨度分成第一天、第二天和第三天这三个时间段，其中，起始时间点为第一天的起始时间，截止时间点为第三天的截止时间，因此，针对第三天，k₁相应的取值为1，针对第二天，k₂相应的取值为2，针对第一天，k₃相应的取值为3；

然后，确定该异常上网请求行为分别在第一天、第二天和第三天这三个时间段内的发生次数，数据如下：第一天，R=0；第二天，R=7，第三天，R=0；

最后，将上述各数据代入上述针对单类型的网络侧异常通信行为的判定模型（一）中，计算得到P=86%，则针对该异常上网请求行为判定得到的移动终端健康度为87%，也就是说，移动终端受病毒、后门危害的概率为87%。

如下表1是采用上述针对单类型的网络侧异常通信行为的判定模型（一）进行移动终端健康度判定的一些场景说明。表1中，给出了时间跨度m等于3，即连续三天的5种场景。

表1

由表1可知，发生网络侧异常通信行为的时间段越靠近截止时间点，P值越大；单个时间段发生异常通信行为的次数越多，P值越大；连续三天内发生异常通信行为的天数越多，P值越大。

上述的判定模型（一）仅是基于单类型的网络侧异常通信行为进行判定，对于多种类型的网络侧异常通信行为来说，可采用如下方法进行移动终端健康度判定：

根据判定模型（一），针对每一种类型的网络侧异常通信行为判定得到每一种类型的网络侧异常通信行为所对应的移动终端健康度；

根据每一种类型的网络侧异常通信行为判定得到的移动终端健康度，计算最终的移动终端健康度；

其中，单种类型的网络侧异常通信行为在该多种类型的网络侧异常通信行为中所占权重越大，则针对该种类型的网络侧异常通信行为判定得到的移动终端健康度对最终的移动终端健康度的影响越大。

具体来说，针对多种类型的网络侧异常通信行为，比如短信消息、彩信消息和上网请求三种用户行为来说，则移动终端健康度判定可以通过以下关系式，此处称“判定模型（二）”进行计算：

其中，P′表示最终的移动终端健康度；

P_n表示针对每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。

其中，上述判定模型（二）中，正常情况下，可设置Wⁿ为1/n，也就是说，各类型的网络侧异常通信行为对最终的移动终端健康度的贡献权重相等。当Wⁿ为1/n时，针对单类型的网络侧异常通信行为的P_n值最大为33.3%。因此，在实际应用中，当该判定模型（二）中的P_n值大于33%时，即可判定用户已受到手机恶意软件的危害。对于P_n值小于33.3%的情况，则可以扩大时间跨度m值来获得更精确的判定概率。

此外，需要说明的是，本发明所提供的方法的扩展能力强，可以很方便的加入新类型的网络侧异常通信行为数据进行扩展，具体的判定过程如图2所示：

首先，收集当前的网络侧异常通信行为的相关数据；

其次，针对网络侧异常通信行为选定时间跨度m值；

然后，依照判定模型（一）计算得到针对各类型的网络侧异常通信行为得到的移动终端健康度；

再然后，判断是否还存在其他类型的网络侧异常通信行为，如果有，则针对该其他类型的网络侧异常通信行为根据判定模型（一）计算针对该其他类型的网络侧异常通信行为得到的移动终端健康度；

最后，计算各类网络侧异常通信行为的权重Wⁿ，根据判定模型（二）计算得到最终的移动终端健康度。

综上所述，本发明所提供的移动终端健康度判定方法，弥补了现有的终端健康度判定方法判断病毒覆盖不全、不及时、判定准确度低、判定效率低、在终端侧部署易受恶意软件干扰等不足，具有以下优点：

基于网络侧采集的用户行为进行分析，在恶意软件传播或发作阶段就能及时发现移动终端异常；

不依赖特征码，基于移动终端的网络侧通信行为进行判定，只要移动终端进行异常操作就能发现，能发现已知恶意软件，也能侦测未知病毒，广泛覆盖，效率高；

对网络侧异常通信行为进行了基于时间、数量和异常通信行为之间的耦合关系进行判定，判定准确性高；

不依赖终端侧部署采集，数据来自网络侧数据，不受移动终端及移动终端安装应用的干扰；

扩展能力强，可以很方便的加入新类型的网络侧异常通信行为数据进行扩展。

本发明还提供了一种移动终端健康度的判定装置，其包括：

选定模块，用于选定至少一种类型的移动终端网络侧异常通信行为；

分段模块，用于将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定模块，用于确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

第一判定模块，用于根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度，并输出与该类型的网络侧异常通信行为所对应的移动终端健康度；

第二判定模块，用于根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算并输出最终的移动终端健康度；

其中，当每一所述时间段内的网络侧异常通信行为的发生次数越多，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段的数量越多，输出的移动终端健康度越大

在本实施例中，优选的，所述第一判定模块包括：

第一健康度生成单元，用于根据如下关系式，计算并输出一对应于单种类型的网络侧异常通信行为的移动终端健康度：

其中，p表示每种类型的网络侧通信异常行为对应的移动终端健康度；

m表示所述连续时间跨度，m=1,2,3……；

k表示所述时间段所在的排序号，k=1,2,3……；

R_k表示对应于所述时间段内的相应类型的网络侧异常通信行为的发生次数，R_k=0,1,2,3……。

在本实施例中，优选的，所述第二判定模块包括：

第二健康度生成单元，用于当所述网络侧异常通信行为包括多种类型的网络侧异常通信行为时，根据如下关系式，计算并输出一最终的移动终端健康度：

其中，P′表示最终的移动终端健康度；

P_n表示每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种移动终端健康度判定方法，其特征在于，包括：

选定至少一种类型的移动终端网络侧异常通信行为；

将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度；

根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；

其中，每一所述时间段内的网络侧异常通信行为的发生次数越多，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，移动终端健康度越大；

发生网络侧异常通信行为的所述时间段的数量越多，移动终端健康度越大。

2.根据权利要求1所述的移动终端健康度判定方法，其特征在于，

所述方法中，根据每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度，具体采用如下关系式进行计算：

其中，p表示每种类型的网络侧通信异常行为对应的移动终端健康度；

m表示所述连续时间跨度，m＝1,2,3……；

k表示所述时间段所在的排序号，k＝1,2,3……，且k≤m；

R_k表示对应于所述时间段内的相应类型的网络侧异常通信行为的发生次数，R_k＝0,1,2,3……。

3.根据权利要求2所述的移动终端健康度判定方法，其特征在于，

所述方法中，当选定的所述网络侧异常通信行为为多种类型的网络侧异常通信行为时，根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度；其中，单种类型的网络侧异常通信行为在该多种类型的网络侧异常通信行为中所占权重越大，则针对该类型的网络侧异常通信行为判定得到的移动终端健康度对最终的移动终端健康度的影响越大。

4.根据权利要求3所述的移动终端健康度判定方法，其特征在于，

所述方法中，根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算最终的移动终端健康度，具体采用如下关系式进行计算：

其中，P′表示最终的移动终端健康度；

N表示网络侧异常通信行为的类型数量，N＝1,2,3……；

n表示网络侧异常通信行为的第几种类型，n＝1,2,3……，n≤N；P_n表示针对每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。

5.根据权利要求1至4任一项所述的移动终端健康度判定方法，其特征在于，所述网络侧异常通信行为的类型包括：

包含异常特征的移动终端上网请求、包含异常特征的移动终端短信、包含异常特征的移动终端彩信。

6.根据权利要求5所述的移动终端健康度判定方法，其特征在于，

所述异常特征包括符合移动终端imsi特征或手机号码特征的字符串。

7.一种移动终端健康度的判定装置，其特征在于，包括：

选定模块，用于选定至少一种类型的移动终端网络侧异常通信行为；

分段模块，用于将一设定起始时间点和一设定截止时间点之间的一连续时间跨度分为若干时间段；

确定模块，用于确定每种类型的网络侧异常通信行为的发生次数在每一所述时间段内的分布情况；

第一判定模块，用于根据每种类型的网络侧异常通信行为的发生次数在每 一所述时间段内的分布情况，计算对应于每种类型的网络侧异常通信行为的移动终端健康度，并输出与该类型的网络侧异常通信行为所对应的移动终端健康度；

第二判定模块，用于根据每种类型的网络侧异常通信行为的对应的移动终端健康度，计算并输出最终的移动终端健康度；

其中，当每一所述时间段内的网络侧异常通信行为的发生次数越多，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段越靠近所述设定截止时间点，输出的移动终端健康度越大；

当发生网络侧异常通信行为的所述时间段的数量越多，输出的移动终端健康度越大。

8.根据权利要求7所述的移动终端健康度的判定装置，其特征在于，所述第一判定模块包括：

第一健康度生成单元，用于根据如下关系式，计算并输出一对应于单种类型的网络侧异常通信行为的移动终端健康度：

其中，其中，p表示每种类型的网络侧通信异常行为对应的移动终端健康度；

m表示所述连续时间跨度，m＝1,2,3……；

k表示所述时间段所在的排序号，k＝1,2,3……，且k≤m；

R_k表示对应于所述时间段内的相应类型的网络侧异常通信行为的发生次数，R_k＝0,1,2,3……。

9.根据权利要求8所述的移动终端健康度的判定装置，其特征在于，

所述第二判定模块包括：

第二健康度生成单元，用于当所述网络侧异常通信行为包括多种类型的网络侧异常通信行为时，根据如下关系式，计算并输出一最终的移动终端健康度：

其中，P′表示最终的移动终端健康度；

N表示网络侧异常通信行为的类型数量，N＝1,2,3……；

n表示网络侧异常通信行为的第几种类型，n＝1,2,3……，n≤N；P_n表示针对每种类型的网络侧异常通信行为判定得到的移动终端健康度；

Wⁿ表示每种类型的网络侧异常通信行为对最终的移动终端健康度贡献的权重，Wⁿ≥0。