CN108009424A - 病毒行为检测方法、装置及系统 - Google Patents

Abstract

本发明公开了一种病毒行为检测方法、装置及系统，涉及网络安全技术领域，主要目的在于能够在节省移动终端耗电量的同时，提升病毒行为检测精确度，所述方法包括：采集移动终端的异常行为；升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。本发明适用于病毒行为的检测。

Description

病毒行为检测方法、装置及系统

技术领域

本发明涉及网络安全技术领域，特别是涉及一种病毒行为检测方法、装置及系统。

背景技术

随着信息技术的不断发展，移动终端在人们生活所起的作用越来越重要，移动终端中也保存较多个人信息，例如，各种账号信息、图片信息、通信信息等因此，若移动终端遭受到病毒的威胁，会造成个人信息泄露，对用户造成难以估计的损失。因此，为了保护用户的个人信息，通常需要检测病毒行为并进行处理。

目前，在进行病毒行为检测时，通常通过移动终端自身训练的病毒行为识别模型检测病毒行为。然而，处于移动终端耗电量因素的考虑，避免影响用户使用移动终端，在训练病毒行为识别模型时，仅收集一些关键样本病毒行为，造成无法识别出某些病毒行为，从而导致病毒行为检测精确度较低。

发明内容

有鉴于此，本发明提供一种病毒行为检测方法及装置，主要目的在于能够在节省移动终端耗电量的同时，提升病毒行为检测精确度。

依据本发明第一方面，提供了一种病毒行为检测方法，包括：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第二方面，提供了一种客户端，包括：

采集单元，用于采集移动终端的异常行为；

升级单元，用于升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

匹配单元，用于将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第三方面，提供了另一种病毒行为检测方法，包括：

收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第四方面，提供了一种云端，包括：

收集单元，用于收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

训练单元，用于利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

升级单元，用于将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第五方面，提供了一种病毒行为检测系统，包括：云端和客户端，

所述云端，用于收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；并将所述动态识别模型升级给所述客户端；

所述客户端，用于采集移动终端的异常行为；并将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第六方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第七方面，提供了一种客户端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以下步骤：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第八方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

依据本发明第九方面，提供了一种云端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以下步骤：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

本发明提供一种病毒行为检测方法、装置及系统，与目前通过移动终端自身训练的病毒行为识别模型检测病毒行为相比，本发明能够采集移动终端的异常行为；并能够升级云端训练的病毒行为动态识别模型，由于所述动态识别模型为云端根据实时收集的海量样本病毒行为和预设机器深度学习算法动态训练得到的；所述动态识别模型能够识别的病毒行为类型较多，通过将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，能够提升病毒行为检测的精确度。与此同时，无需从单个移动终端上采集较多的样本病毒行为，训练病毒行为识别模型，能够节省移动终端的耗电量。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种病毒行为检测方法流程图；

图2示出了本发明实施例提供的另一种病毒行为检测方法流程图；

图3示出了本发明实施例提供的又一种病毒行为检测方法流程图；

图4示出了本发明实施例提供的一种客户端的结构示意图；

图5示出了本发明实施例提供的另一种客户端的结构示意图；

图6示出了本发明实施例提供的一种客户端的实体结构示意图；

图7示出了本发明实施例提供的一种云端的结构示意图；

图8示出了本发明实施例提供的另一种云端的结构示意图；

图9示出了本发明实施例提供的一种云端的实体结构示意图；

图10示出了本发明实施例提供的一种病毒行为检测系统的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

如背景技术所述，目前通常通过移动终端自身训练的病毒行为识别模型检测病毒行为。然而，处于移动终端耗电量因素的考虑，避免影响用户使用移动终端，在训练病毒行为识别模型时，仅收集一些关键样本病毒行为，造成无法识别出某些病毒行为，从而导致病毒行为检测精确度较低。

为了解决上述技术问题，本发明实施例提供了一种病毒行为检测方法，可以应用于客户端，如图1所示，所述方法包括：

101、采集移动终端的异常行为。

其中，所述移动终端可以为手机、平板电脑等，本发明实施例的执行主体为客户端，具体可以为安全服务厂商提供的客户端，所述客户端安装在移动终端上，通过客户端检测病毒行为并进行处理，为用户提供可靠的移动互联网安全服务器。所述异常行为可以为不确定的病毒行为，即为不能确定是否为病毒行为的行为，具体地，所述异常行为可以为通过安装在移动终端上的杀毒引擎查杀后，得到的不确定的病毒行为，通过本发明实施例中的客户端，可以对所述异常行为进一步定位查杀，能够避免发生病毒行为漏查现象，进而能够提高病毒行为的精确度。

在实际应用中，安全服务厂商可以预先与移动终端厂商建立合作，获取移动系统的系统权限，然后根据获取的系统权限对移动终端的操作系统进行监控和打桩，从系统底层抓取移动终端的异常行为信息。

102、升级云端训练的病毒行为动态识别模型。

其中，所述动态识别模型可以为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的。所述海量样本病毒行为可以为云端根据海量客户端上传的样本病毒行为得到的。所述预设机器深度学习算法可以卷积神经网络模型。通过对海量样本病毒行为进行动态训练，能够保证训练的模型实时获取最新产生的病毒行为特征，提升移动终端病毒行为检测的精确度。

103、将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

对于本发明实施例，所述动态识别模型可以为基于非线性函数实现的，具体地，所述动态识别模型可以包括输入层、隐藏层和输出层，输入层对应于输入的异常行为，所述隐藏层用于根据样本病毒行为的病毒行为特征对所述异常行为计算；所述输出层用于将计算得到的判断结果进行输出，所述隐藏层即为利用非线性函数对输入的动态识别模型进行计算的层。

需要说明是，在异常行为输入到所述动态识别模型后，所述动态识别模型会提取所述异常行为的行为特征，然后将提取的行为特征与所述动态识别模型隐藏层中的病毒行为特征进行对比，若提取的行为特征与所述动态识别模型隐藏层中的病毒行为特征匹配，则确定判断所述异常行为为病毒行为；若提取的行为特征与所述动态识别模型隐藏层中的病毒行为特征不匹配，则确定判断所述异常行为为非病毒行为。

本发明实施例的提供一种病毒行为检测方法，与目前通过移动终端自身训练的病毒行为识别模型检测病毒行为相比，本发明实施例能够采集移动终端的异常行为；并能够升级云端训练的病毒行为动态识别模型，由于所述动态识别模型为云端根据实时收集的海量样本病毒行为和预设机器深度学习算法动态训练得到的；所述动态识别模型能够识别的病毒行为类型较多，通过将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，能够提升病毒行为检测的精确度。与此同时，无需从单个移动终端上采集较多的样本病毒行为，训练病毒行为识别模型，能够节省移动终端的耗电量。

进一步的，为了更好的说明上述病毒行为检测的过程，作为对上述实施例的细化和扩展，本发明实施例提供了另一种病毒行为检测方法，如图2所示，可以应用于客户端，但不限于此，具体如下所示：

201、通过对所述移动终端进行系统打桩处理，采集所述移动终端的行为。

对于本发明实施例，所述移动终端对应的操作系统包括抽象层、Native层、Framework层，为了实现采集所述移动终端的行为，所述步骤201具体可以包括：在所述抽象层、所述Native层和所述Framework层，对所述移动终端的模块函数进行挂钩；根据挂钩的行为信息，确定所述移动终端的行为。所述挂钩的行为信息可以包括模块函数的调用者信息、进程信息等。

202、利用预设杀毒引擎对收集的行为进行扫描分析。

其中，所述预设杀毒引擎包括黑名单库，灰名单库，白名单库，所述黑名单库保存有已确定的病毒行为，所述灰名单库保存有不确定的病毒行为，所述白名单库保存有已确定的非病毒行为。所述预设查杀引擎可以包括：AVE引擎、AVM引擎、云查杀引擎、机器学习查杀引擎等等。预设杀毒引擎扫描分析的过程可以为：将收集的行为与黑名单库，灰名单库，白名单库中的行为进行匹配，若收集的行为与黑名单库行为匹配，则确定收集的行为为病毒行为，所述预设杀毒引擎会对收集的行为直接进行拦截；若收集的行为与灰名单库行为匹配，则不确定收集的行为是否为病毒行为，所述预设杀毒引擎会将收集的行为发送给本发明实施例中的客户端，使得所述客户端根据云端训练的动态识别模型对该行为进行检测；若收集的行为与白名单库行为匹配，则确定收集的行为不是病毒行为。

203、若扫描得到所述收集的行为为不确定的病毒行为，则将所述收集的行为确定为异常行为。

204、升级云端训练的病毒行为动态识别模型。

其中，所述动态识别模型可以为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的。所述海量样本病毒行为可以为云端根据海量客户端上传的样本病毒行为得到的。需要说明的是，客户端升级所述病毒行为动态识别模型时，可以在系统后台自动进行升级，以免对用户使用移动终端造成影响或者干扰。

205、将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

其中，所述病毒行为可以包括但不限于：短信病毒行为、通话病毒行为、图片/视频病毒行为、联系人病毒行为、麦克风病毒行为、摄像头病毒行为、浏览器病毒行为、传感器病毒行为、设备信息病毒行为、日志信息病毒行为、位置信息病毒行为、账户信息病毒行为。

需要说明的是，所述短信病毒行为可以包括但不限于：不通过用户界面(UserInterface，UI)读取短信、不通过UI发送短信、读取短信信息、后台读取短信信息、发送短信、后台发送短信、试图后台发送信息。

所述通话病毒行为可以包括但不限于：传输电话号码、访问电话号码、没有通过UI访问电话号码、后台访问电话号码、后台使用电话号码通讯、没通过UI使用电话号码通讯、访问通话服务、后台访问通话服务。

所述图片/视频病毒行为可以包括但不限于：捕获并传输图片/视频、后台捕获并传输图片/视频、后台捕获视频、没通过UI捕获并传输图片/视频。

所述联系人病毒行为可以包括但不限于：访问联系人的可疑行为、后台访问联系人的可疑行为、没使用UI访问联系人的可疑行为、传输联系人列表、后台传输联系人列表、不通过UI传输联系人列表。

所述麦克风病毒行为可以包括但不限于：后台访问麦克风数据、传输麦克风数据、不使用UI传输麦克风数据、后台传输麦克风数据、可疑录音行为、没通过UI录音、后台录音。所述摄像头病毒行为可以包括但不限于：后台使用摄像头、可疑使用摄像头。

所述浏览器病毒行为可以包括但不限于：不通过UI传输浏览器信息、传输浏览器信息、访问浏览器信息、后台传输浏览器信息、后台访问浏览器信息、没有通过UI访问浏览器信息。

所述传感器病毒行为可以包括但不限于：访问传感器数据/信息的异常行为、传输传感器信息的异常行为、后台访问传感器数据/信息的异常行为、后台传输传感器信息的异常行为、后台访问陀螺仪的异常行为、访问陀螺仪的异常行为。

所述设备信息病毒行为可以包括但不限于：不通过UI访问设备信息、传输设备信息、访问设备信息、后台传输设备信息、后台访问设备信息、后台使用安卓系统(android)身份标识(Identification，ID)的异常行为、后台异常传输android ID、异常传输androidID、后台访问设备ID设置的异常行为、访问设备ID设置的异常行为、使用android ID的异常行为。

所述日志信息病毒行为可以包括但不限于：传输日历信息、访问日历信息、后台传输日历信息、后台向日历中添加事件、没通过UI向日历中添加事件、试图后台访问日历信息。

所述位置信息病毒行为可以包括但不限于：传输位置信息的异常行为、后台传输位置信息的异常行为、后台获取位置信息、没通过UI访问位置数据、异常获取位置信息。

所述账户信息病毒行为可以包括但不限于：传输账户信息、访问操作信息、后台传输操作信息、后台访问操作信息、访问用户帐号信息、后台传输账户信息、后台访问用户帐号信息、后台访问用户数据。

此外，所述病毒行为可以包括但不限于：可疑的第三方应用安装行为、试图不通过UI访问第三方应用、试图后台安装第三方应用、试图创建快捷方式、试图不用UI创建快捷方式、后台试图创建快捷方式、UI隐藏时偷窥用户的行为、从后台切换到前台，并且杀掉当前运行应用的行为、后台改变飞行模式的异常行为、后台劫持高优先级的UI行为、后台切换到前台并且全屏、后台修改wifi设置、后台修改提醒设置、劫持高优先级的UI、没有通过UI从后台切换到前台、没有通过UI访问用户数据、请求设备管理权限。

对于本发明实施例，通过所述动态识别模型进行匹配，还可以得到判断结果，步骤205具体可以包括：将所述异常行为输入到所述动态识别模型进行匹配；若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征匹配，则确定所述异常行为为病毒行为；若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征不匹配，则确定所述异常行为为非病毒行为。云端在训练动态识别模型时，可以学习海量样本病毒行为的动作码，然后根据学习的动作码对海量样本病毒行为进行分类，最后根据分类结果确定病毒行为特征，并根据病毒行为特征生成所述动态识别模型，因此，所述动态识别模型中可以包含有海量的病毒行为特征。

此外，为了提升杀毒引擎的查杀精确度和效率，还可以将病毒行为检测结果推送给杀毒引擎，具体可以为：若判断所述异常行为为病毒行为，可以将病毒行为推送给杀毒引擎，使得杀毒引擎将加入黑名单中，若判断所述异常行为为非病毒行为，可以将病毒行为推送给杀毒引擎，使得杀毒引擎将加入白名单中。

对于本发明实施例，所述步骤205具体可以包括：当所述异常行为的数量大于或者预设阈值时，将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。其中，所述预设阈值可以根据用户需要进行设置，也可以根据系统模式进行设置，本发明实施例不做限定。例如，所述预设阈值可以为10个行为，100个行为、1000个等。在实际应用中，可以通过按照预定时间间隔将所述异常行为输入到所述动态识别模型进行匹配的方式，来积累预定阈值的异常行为。通过在所述异常行为的数量大于或者预设阈值时，再进行病毒行为检测，能够节省病毒行为检测所消耗的系统资源，且能够更新到包含更丰富病毒行为特征的动态识别模型，进而能够进一步提升病毒行为检测精确度。

206、若确定所述异常行为为病毒行为，则对所述异常行为进行拦截，识别引起所述异常行为的应用程序，并根据预设控制策略将识别的应用程序确定为未知恶意应用程序。

其中，所述预设控制策略可以用于确定应用程序的级别，例如，所述级别可以包括：

安全级别：应用程序是正常的应用程序，没有任何威胁用户移动终端的行为；

危险级别：应用程序存在安全风险，有可能该应用程序本身就是恶意应用程序；也有可能该应用程序本来是正规公司发布的正常应用程序，但是因为存在安全漏洞，会导致用户的隐私、手机安全受到威胁；

谨慎级别：应用程序是正常的应用程序，但是存在一些问题，例如会让用户不小心被扣费，或者有不友好的广告遭到投诉等；当发现这类应用程序之后，会提示用户谨慎使用并告知该应用程序可能的行为，但是由用户自行决定是否清除该应用程序；

木马级别；该应用程序是病毒、木马或者其他恶意软件。

通过将识别的应用程序确定为未知恶意应用程序，能够使得用户根据提示对应用程序进行处理，进一步提升移动终端的安全性。

此外，为了不断丰富云端训练的动态识别模型，提升病毒行为检测精确度，在确定所述异常行为为病毒行为后，还可以将所述异常行为确定为样本病毒行为并上传给所述云端，使得根据新接收的样本病毒行为动态训练所述病毒行为动态识别模型。

本发明实施例的提供的另一种病毒行为检测方法，与目前通过移动终端自身训练的病毒行为识别模型检测病毒行为相比，本发明实施例能够采集移动终端的异常行为；并能够升级云端训练的病毒行为动态识别模型，由于所述动态识别模型为云端根据实时收集的海量样本病毒行为和预设机器深度学习算法动态训练得到的；所述动态识别模型能够识别的病毒行为类型较多，通过将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，能够提升病毒行为检测的精确度。与此同时，无需从单个移动终端上采集较多的样本病毒行为，训练病毒行为识别模型，能够节省移动终端的耗电量。

进一步地，与图1所涉及的病毒行为检测方法相对应，本发明实施例提供了又一种病毒行为检测方法，可以应用于云端，所述方法包括：

301、实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为。

其中，所述样本病毒行为可以为如步骤205所述的病毒行为，本发明实施例不进行限定。通过收集海量客户端上传的样本病毒行为，与现有技术由移动终端收集样本病毒行为，训练病毒行为识别模型相比，能够保证训练的病毒行为特征丰富，且能够节省单个移动终端的耗电量。

302、利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型。

其中，所述预设深度学习算法可以为卷积神经网络模型。所述卷积神经网络模型可以为多层的神经网络，例如，可以为6个卷积层的神经网络，每一个特征提取层可以紧跟一个用于计算和二次提取的计算层。通过训练卷积神经网络模型，能够提升对样本病毒行为的容忍度。所述预设机器深度学习算法可以通过组合底层特征形成更加抽象的高层表示属性类别或者特征，在本发明实施例中，为了训练得到所述毒行为动态识别模型，所述步骤302具体可以包括：利用预设机器深度学习算法学习所述海量样本病毒行为的动作码；根据学习的动作码对所述样本病毒行为进行分类；根据分类结果确定所述样本病毒行为对应的病毒行为特征，以及根据所述病毒特征生成所述病毒行为动态识别模型。其中，所述动作码可以为病毒行为的特征码，反映病毒行为的共性，训练得到的病毒行为动态识别模型可以包括输入层、隐藏层和输出层，输入层对应于输入的异常行为，所述隐藏层可以包括特征提取层和计算层，所述特征提取层可以用于提取所述异常行的行为特征，所述计算层可以用于根据计算；所述输出层用于将计算得到的病毒行为类型进行输出。

303、将所述动态识别模型升级给所述客户端。

其中，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。关于客户端检测病毒行为的具体方式，在步骤201-206所涉及的实施例已进行详细，在此不进行赘述。

本发明实施例的提供的又一种病毒行为检测方法，与目前通过移动终端自身训练的病毒行为识别模型检测病毒行为相比，本发明实施例云端能够实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为，并能够利用预设机器深度学习算法对收集的海量样本病毒进行动态训练，得到病毒行为动态识别模型并升级给客户端，使得客户端能够将采集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，由于所述动态识别模型为云端根据实时收集的海量样本病毒行为和预设机器深度学习算法动态训练得到的；所述动态识别模型能够识别的病毒行为类型较多，从而能够提升病毒行为检测的精确度。与此同时，无需从单个移动终端上采集较多的样本病毒行为，训练病毒行为识别模型，能够节省移动终端的耗电量。

进一步地，作为图1的具体实现，本发明实施例提供了一种客户端，如图4所示，所述客户端包括：采集单元41、升级单元42、匹配单元43。

所述采集单元41，可以用于采集移动终端的异常行为。所述采集单元41是本客户端中采集移动终端的异常行为的主要功能模块。

所述升级单元42，可以用于升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的。所述升级单元42是本客户端中升级云端训练的病毒行为动态识别模型的主要功能模块，也是本客户端的核心模块，能够触发所述匹配单元43工作。

所述匹配单元43，可以用于将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。所述匹配单元43是本客户端中将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为的主要功能模块。

其中，所述病毒行为包括但不限于：短信病毒行为、通话病毒行为、图片/视频病毒行为、联系人病毒行为、麦克风病毒行为、摄像头病毒行为、浏览器病毒行为、传感器病毒行为、设备信息病毒行为、日志信息病毒行为、位置信息病毒行为、账户信息病毒行为。

如图5所示，对于本发明实施例，为了确定所述异常行为的判断结果，所述匹配单元43具体可以包括：匹配模块431和第一确定模块432。

所述匹配模块431，可以用于将所述异常行为输入到所述动态识别模型进行匹配。

所述第一确定模块432，可以用于若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征匹配，则确定所述异常行为为病毒行为。

所述第一确定模块432，可以用于若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征不匹配，则确定所述异常行为为非病毒行为。

对于本发明实施例，为了采集移动终端的异常行为，所述采集单元41包括：采集模块411、扫描模块412和第二确定模块413。

所述采集模块411，可以用于通过对所述移动终端进行系统打桩处理，采集所述移动终端的行为；

所述扫描模块412，可以用于利用预设杀毒引擎对收集的行为进行扫描分析，所述预设杀毒引擎包括黑名单库，灰名单库，白名单库，所述黑名单库保存有已确定的病毒行为，所述灰名单库保存有不确定的病毒行为，所述白名单库保存有已确定的非病毒行为；

所述第二确定模块413，可以用于若扫描得到所述收集的行为为不确定的病毒行为，则将所述收集的行为确定为异常行为。

需要说明的是，所述移动终端对应的操作系统包括抽象层、Native层、Framework层，所述采集模块411，具体可以用于在所述抽象层、所述Native层和所述Framework层，对所述移动终端的模块函数进行挂钩；并根据挂钩的行为信息，确定所述移动终端的行为。

对于本发明实施例，为了保证移动终端的安全，对病毒行为进行防御，所述客户端包括：拦截单元44、识别单元45和确定单元46。

所述拦截单元44，可以用于若确定所述异常行为为病毒行为，则对所述异常行为进行拦截。所述拦截单元44是本云端中对所述异常行为进行拦截的主要功能模块。

所述识别单元45，可以用于识别引起所述异常行为的应用程序。所述识别单元45是本云端中识别引起所述异常行为的应用程序的主要功能模块。

所述确定单元46，可以用于根据预设控制策略将识别的应用程序确定为未知恶意应用程序。所述确定单元46是本云端中根据预设控制策略将识别的应用程序确定为未知恶意应用程序的主要功能模块。所述预设控制策略可以用于确定应用程序的级别，例如，所述级别可以包括：安全级别、危险级别、谨慎级别、木马级别。

对于本发明实施例，为了实现实时更新所述动态识别模型，不断丰富云端训练的动态识别模型，提升病毒行为检测精确度，所述客户端还包括：上传单元47。

所述上传单元47，可以用于若确定所述异常行为为病毒行为，则将所述异常行为确定为样本病毒行为并上传给所述云端，所述样本病毒行为用于动态训练所述病毒行为动态识别模型。

需要说明的是，为了节省病毒行为检测所消耗的系统资源，以及进一步提升病毒行为检测精确度，所述匹配单元43，具体可以用于当所述异常行为的数量大于或者预设阈值时，将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

需要说明的是，本发明实施例提供的一种客户端所涉及各功能模块的其他相应描述，可以参考图1所示方法的对应描述，在此不再赘述。

基于上述如图1所示方法，相应的，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：采集移动终端的异常行为；升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

基于上述如图1所示方法和如图4所示客户端的实施例，本发明实施例还提供了一种客户端的实体结构，如图6所示，该装置包括：处理器51、存储器52、及存储在存储器52上并可在处理器上运行的计算机程序，其中存储器52和处理器51均设置在总线53上所述处理器51执行所述程序时实现以下步骤：采集移动终端的异常行为；升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

进一步地，作为图3的具体实现，本发明实施例提供了一种云端，如图7所示，所述云端包括：收集单元61、训练单元62、升级单元63。

所述收集单元61，可以用于实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为。所述收集单元61是本云端中实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为的主要功能模块。

所述训练单元62，用于利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型。所述训练单元62是本云端中利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型的主要功能模块，也是本云端中的核心模块。

所述升级单元63，用于将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。所述升级单元63是本云端中将所述动态识别模型升级给所述客户端的主要功能模块。

如图8所示，对于本发明实施例，为了训练得到所述病毒行为动态识别模型，所述训练单元62包括：学习模块621、分类模块622和生成模块623。

所述学习模块621，可以用于利用预设机器深度学习算法学习所述海量样本病毒行为的动作码。

所述分类模块622，可以用于根据学习的动作码对所述样本病毒行为进行分类。

所述生成模块623，可以用于根据分类结果确定所述样本病毒行为对应的病毒行为特征，以及根据所述病毒特征生成所述病毒行为动态识别模型。

需要说明的是，本发明实施例提供的一种云端所涉及各功能模块的其他相应描述，可以参考图2所示方法的对应描述，在此不再赘述。

基于上述如图3所示方法，相应的，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

基于上述如图3所示方法和如图7所示云端的实施例，本发明实施例还提供了一种云端的实体结构，如图9所示，该装置包括：处理器71、存储器72、及存储在存储器72上并可在处理器上运行的计算机程序，其中存储器72和处理器71均设置在总线73上所述处理器71执行所述程序时实现以下步骤：实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

进一步地，本发明实施例提供了一种病毒行为检测系统，如图10所示，所述系统包括：云端81和客户端82。

所述云端81，可以用于收集海量所述客户端82上传的样本病毒行为，得到海量样本病毒行为；利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；并将所述动态识别模型升级给所述客户端82。

所述客户端82，可以用于采集移动终端的异常行为；并将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

通过本发明的上述技术方案，云端能够收集海量客户端上传的样本病毒行为，得到海量样本病毒行为，并能够根据海量样本病毒行为和预设机器深度学习算法动态训练得到病毒行为动态识别模型，客户端能够升级云端训练的病毒行为动态识别模型，并将采集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。与目前通过移动终端自身训练的病毒行为识别模型检测病毒行为相比，训练的所述动态识别模型能够识别较多的病毒行为类型，从而能够提升病毒行为检测的精确度。与此同时，无需从单个移动终端上采集较多的样本病毒行为，训练病毒行为识别模型，能够节省移动终端的耗电量。

本发明还提供如下技术方案：

A1、一种病毒行为检测方法，包括：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

A2、如A1所述的方法，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，具体包括：

将所述异常行为输入到所述动态识别模型进行匹配；

若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征匹配，则确定所述异常行为为病毒行为；

若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征不匹配，则确定所述异常行为为非病毒行为。

A3、如A1所述的方法，所述采集移动终端的异常行为，具体包括：

通过对所述移动终端进行系统打桩处理，采集所述移动终端的行为；

利用预设杀毒引擎对收集的行为进行扫描分析，所述预设杀毒引擎包括黑名单库，灰名单库，白名单库，所述黑名单库保存有已确定的病毒行为，所述灰名单库保存有不确定的病毒行为，所述白名单库保存有已确定的非病毒行为；

若扫描得到所述收集的行为为不确定的病毒行为，则将所述收集的行为确定为异常行为。

A4、如A1所述的方法，所述移动终端对应的操作系统包括抽象层、Native层、Framework层，所述通过对所述移动终端进行系统打桩处理，收集所述移动终端的行为，具体包括：

在所述抽象层、所述Native层和所述Framework层，对所述移动终端的模块函数进行挂钩；

根据挂钩的行为信息，确定所述移动终端的行为。

A5、如A1所述的方法，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为之后，所述方法还包括：

若确定所述异常行为为病毒行为，则对所述异常行为进行拦截，识别引起所述异常行为的应用程序，并根据预设控制策略将识别的应用程序确定为未知恶意应用程序。

A6、如A1所述的方法，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为之后，所述方法还包括：

若确定所述异常行为为病毒行为，则将所述异常行为确定为样本病毒行为并上传给所述云端，所述样本病毒行为用于动态训练所述病毒行为动态识别模型。

A7、如A1-A6任一项所述的方法，所述病毒行为包括但不限于：短信病毒行为、通话病毒行为、图片/视频病毒行为、联系人病毒行为、麦克风病毒行为、摄像头病毒行为、浏览器病毒行为、传感器病毒行为、设备信息病毒行为、日志信息病毒行为、位置信息病毒行为、账户信息病毒行为。

A8、如A1-A6任一项所述的方法，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，具体包括：

当所述异常行为的数量大于或者预设阈值时，将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

B9、一种病毒行为检测方法，包括：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

B10、如B9所述的方法，所述利用预设机器深度学习算法对海量样本病毒行为进行动态训练，得到病毒行为动态识别模型，具体包括：

利用预设机器深度学习算法学习所述海量样本病毒行为的动作码；

根据学习的动作码对所述样本病毒行为进行分类；

根据分类结果确定所述样本病毒行为对应的病毒行为特征，以及根据所述病毒特征生成所述病毒行为动态识别模型。

C11、一种客户端，包括：

采集单元，用于采集移动终端的异常行为；

升级单元，用于升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

匹配单元，用于将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

C12、如C11所述的客户端，所述匹配单元包括：

匹配模块，用于将所述异常行为输入到所述动态识别模型进行匹配；

第一确定模块，用于若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征匹配，则确定所述异常行为为病毒行为；

所述第一确定模块，用于若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征不匹配，则确定所述异常行为为非病毒行为。

C13、如C11所述的客户端，所述采集单元包括：

采集模块，用于通过对所述移动终端进行系统打桩处理，采集所述移动终端的行为；

扫描模块，用于利用预设杀毒引擎对收集的行为进行扫描分析，所述预设杀毒引擎包括黑名单库，灰名单库，白名单库，所述黑名单库保存有已确定的病毒行为，所述灰名单库保存有不确定的病毒行为，所述白名单库保存有已确定的非病毒行为；

第二确定模块，用于若扫描得到所述收集的行为为不确定的病毒行为，则将所述收集的行为确定为异常行为。

C14、如C11所述的客户端，所述移动终端对应的操作系统包括抽象层、Native层、Framework层，

所述采集模块，具体用于在所述抽象层、所述Native层和所述Framework层，对所述移动终端的模块函数进行挂钩；并根据挂钩的行为信息，确定所述移动终端的行为。

C15、如C11所述的客户端，所述客户端包括：

拦截单元，用于若确定所述异常行为为病毒行为，则对所述异常行为进行拦截；

识别单元，用于识别引起所述异常行为的应用程序；

确定单元，用于根据预设控制策略将识别的应用程序确定为未知恶意应用程序。

C16、如C11所述的客户端，所述客户端还包括：

上传单元，用于若确定所述异常行为为病毒行为，则将所述异常行为确定为样本病毒行为并上传给所述云端，所述样本病毒行为用于动态训练所述病毒行为动态识别模型。

C17、如C11-C16任一项所述的客户端，所述病毒行为包括但不限于：短信病毒行为、通话病毒行为、图片/视频病毒行为、联系人病毒行为、麦克风病毒行为、摄像头病毒行为、浏览器病毒行为、传感器病毒行为、设备信息病毒行为、日志信息病毒行为、位置信息病毒行为、账户信息病毒行为。

C18、如C11-C16任一项所述的客户端，

所述匹配单元，具体用于当所述异常行为的数量大于或者预设阈值时，将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

D19、一种云端，包括：

收集单元，用于实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

训练单元，用于利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

升级单元，用于将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

D20、如D19所述的云端，所述训练单元包括：

学习模块，用于利用预设机器深度学习算法学习所述海量样本病毒行为的动作码；

分类模块，用于根据学习的动作码对所述样本病毒行为进行分类；

生成模块，用于根据分类结果确定所述样本病毒行为对应的病毒行为特征，以及根据所述病毒特征生成所述病毒行为动态识别模型。

E21、一种病毒行为检测系统，包括如C11-C18任一项所述的客户端，以及如D19-D20任一项所述的云端。

E22、一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

F23、一种客户端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以下步骤：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

G24、一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

H25、一种云端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以下步骤：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

可以理解的是，上述方法及装置中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的病毒行为检测装置及系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种病毒行为检测方法，其特征在于，包括：

采集移动终端的异常行为；

升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

2.根据权利要求1所述的方法，其特征在于，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为，具体包括：

将所述异常行为输入到所述动态识别模型进行匹配；

若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征匹配，则确定所述异常行为为病毒行为；

若所述异常行为的行为特征与所述动态识别模型中的病毒行为特征不匹配，则确定所述异常行为为非病毒行为。

3.根据权利要求1所述的方法，其特征在于，所述采集移动终端的异常行为，具体包括：

通过对所述移动终端进行系统打桩处理，采集所述移动终端的行为；

利用预设杀毒引擎对收集的行为进行扫描分析，所述预设杀毒引擎包括黑名单库，灰名单库，白名单库，所述黑名单库保存有已确定的病毒行为，所述灰名单库保存有不确定的病毒行为，所述白名单库保存有已确定的非病毒行为；

若扫描得到所述收集的行为为不确定的病毒行为，则将所述收集的行为确定为异常行为。

4.根据权利要求1所述的方法，其特征在于，所述移动终端对应的操作系统包括抽象层、Native层、Framework层，所述通过对所述移动终端进行系统打桩处理，收集所述移动终端的行为，具体包括：

在所述抽象层、所述Native层和所述Framework层，对所述移动终端的模块函数进行挂钩；

根据挂钩的行为信息，确定所述移动终端的行为。

5.根据权利要求1所述的方法，其特征在于，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为之后，所述方法还包括：

若确定所述异常行为为病毒行为，则对所述异常行为进行拦截，识别引起所述异常行为的应用程序，并根据预设控制策略将识别的应用程序确定为未知恶意应用程序。

6.根据权利要求1所述的方法，其特征在于，所述将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为之后，所述方法还包括：

若确定所述异常行为为病毒行为，则将所述异常行为确定为样本病毒行为并上传给所述云端，所述样本病毒行为用于动态训练所述病毒行为动态识别模型。

7.一种病毒行为检测方法，其特征在于，包括：

实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

8.一种客户端，其特征在于，包括：

采集单元，用于采集移动终端的异常行为；

升级单元，用于升级云端训练的病毒行为动态识别模型，所述动态识别模型为根据海量样本病毒行为和预设机器深度学习算法动态训练得到的；

匹配单元，用于将所述异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

9.一种云端，其特征在于，包括：

收集单元，用于实时收集海量客户端上传的样本病毒行为，得到海量样本病毒行为；

训练单元，用于利用预设机器深度学习算法对所述海量样本病毒行为进行动态训练，得到病毒行为动态识别模型；

升级单元，用于将所述动态识别模型升级给所述客户端，所述客户端用于将收集的移动终端的异常行为输入到所述动态识别模型进行匹配，以判断所述异常行为是否为病毒行为。

10.一种病毒行为检测系统，其特征在于，包括如权利要求8所述的客户端，以及如权利要求9所述的云端。