CN108804918B - 安全性防御方法、装置、电子设备及存储介质 - Google Patents

安全性防御方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN108804918B
CN108804918B CN201711494788.6A CN201711494788A CN108804918B CN 108804918 B CN108804918 B CN 108804918B CN 201711494788 A CN201711494788 A CN 201711494788A CN 108804918 B CN108804918 B CN 108804918B
Authority
CN
China
Prior art keywords
current process
result
decision
module
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201711494788.6A
Other languages
English (en)
Other versions
CN108804918A (zh
Inventor
苑朔
徐翰隆
王小丰
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Antiy Network Technology Co Ltd
Original Assignee
Beijing Antiy Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Antiy Network Technology Co Ltd filed Critical Beijing Antiy Network Technology Co Ltd
Priority to CN201711494788.6A priority Critical patent/CN108804918B/zh
Publication of CN108804918A publication Critical patent/CN108804918A/zh
Application granted granted Critical
Publication of CN108804918B publication Critical patent/CN108804918B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Image Analysis (AREA)

Abstract

本发明的实施例公开一种安全性防御方法、装置、电子设备及存储介质，涉及计算机安全技术领域，能够提高对病毒的检出率。所述安全性防御方法，应用于终端设备，所述方法包括：通过检测模块对当前进程进行安全性检测，得到第一检测结果；通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果；根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。本发明适用于对终端设备的安全性防御的场合。

Description

安全性防御方法、装置、电子设备及存储介质
技术领域
本发明涉及计算机安全技术领域，尤其涉及一种安全性防御方法、装置、电子设备及存储介质。
背景技术
随着互联网的快速发展，大量的病毒样本变异和规则的不同，病毒的进程行为也变得越来越复杂。
在实现本发明的过程中，发明人发现随着病毒样本的不断变异，采用传统的病毒检测方法，容易产生漏检的情况，由此使得检出率不高。
发明内容
有鉴于此，本发明实施例提供一种安全性防御方法、装置、电子设备及存储介质，能够提高对病毒的检出率。
第一方面，本发明实施例提供一种安全性防御方法，应用于终端设备，所述方法包括：
通过检测模块对当前进程进行安全性检测，得到第一检测结果；
通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果；
根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。
可选地，所述通过检测模块对当前进程进行安全性检测，得到第一检测结果，包括：
根据特征码对所述当前进程所对应的实体文件进行对比检测；和/或
对所述当前进程在执行过程中所加载的动态的库文件进行检测，得到第一检测结果。
可选地，所述通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果，包括：
获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；
将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果。
可选地，在通过所述决策模块对所述当前进程进行安全性决策，得到第一决策结果之前，所述方法包括：
根据所述终端设备上的环境信息，对所述深度无监督机器学习模型中的权重值进行初始化。
可选地，所述根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程，包括：
根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果；
根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果；
根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
可选地，所述第一决策结果为包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量；
其中，根据所述第一决策结果，确定是否阻止所述当前进程，包括：
将所述第一决策结果转换为分值；
当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
可选地，在确定放行所述当前进程之后，所述方法还包括：
获取放行所述当前进程之后的终端设备的状态信息；
对获取的所述状态信息，通过基于无监督的自学习模块，进行聚类分析；
根据聚类分析结果确定放行所述当前进程之后的终端设备的安全等级；
根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。
第二方面，本发明实施例提供一种安全性防御装置，应用于终端设备，所述装置包括：
检测模块，用于对当前进程进行安全性检测，得到第一检测结果；
决策模块，用于通过无监督学习对所述当前进程进行安全性决策，得到第一决策结果；
判断模块，用于根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。
可选地，所述检测模块，具体用于：根据特征码对所述当前进程所对应的实体文件进行对比检测；和/或
对所述当前进程在执行过程中所加载的动态的库文件进行检测，得到第一检测结果。
可选地，所述决策模块，具体用于：获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；
将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果。
可选地，所述的安全性防御装置，还包括：初始化模块，用于根据所述终端设备上的环境信息，对所述深度无监督机器学习模型中的权重值进行初始化。
可选地，所述判断模块，包括：
第一判断子模块，用于根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果；
第二判断子模块，用于根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果；
第三判断子模块，用于根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
可选地，所述第一决策结果为包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量；
所述第二判断子模块，具体用于：将所述第一决策结果转换为分值；当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
可选地，所述装置还包括：自学习模块，用于获取放行所述当前进程之后的终端设备的状态信息；对获取的所述状态信息，进行聚类分析；根据聚类分析结果确定放行所述当前进程之后的终端设备的安全等级；根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。
第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施方式所述的方法。
第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实施方式所述的方法。
本发明实施例提供的一种安全性防御方法、装置、电子设备及存储介质，所述检测模块可采用传统检测技术进行检测，准确率较高；而基于无监督学习的决策模块，可对同一体系的木马变种行为进行识别和判断，可弥补所述检测模块因不能及时适应木马变种而更新病毒库或检测规则所带来的不足，减少漏检的情况发生，从而提高病毒的检出率。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明实施例一安全性防御方法的流程示意图；
图2为本发明实施例二安全性防御方法的流程示意图；
图3为本发明实施例三安全性防御装置的结构示意图；
图4为本发明实施例四安全性防御装置的结构示意图；
图5为本发明电子设备一个实施例的结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
本发明实施例提供的安全性防御方法，应用于终端设备，能够提高对木马病毒的检出率，减少漏检的情况发生。所述终端设备可以为桌面计算机、便携式计算机、手机、平板电脑、个人数字助理等，本发明对此不做限定。其中，所述终端设备的操作系统包括但不限于windows操作系统和Linux操作系统。
图1为本发明实施例一安全性防御方法的流程示意图，参看图1，本实施例的方法，可包括：
步骤101、通过检测模块对当前进程进行安全性检测，得到第一检测结果。
本实施例中，通过所述检测模块，可利用传统的检测手段，对当前进程进行安全性检测。
示例性地，可通过以下三种方式中的任一方式对当前进程进行安全性检测。
(1)根据特征码对所述当前进程所对应的实体文件进行对比检测。
(2)对所述当前进程在执行过程中所加载的动态的库文件进行检测。
(3)根据进程的敏感行为进行检测，
本发明实施例中进程的敏感行为可以为与操作系统内的安全相关、系统关键数据操作相关的应用程序接口调用操作。
步骤102、通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果。
示例性地，可通过终端设备的环境，例如电脑上运行软件的状态，电脑硬件的信息，电脑上正在运行的状态，利用神经网络的数据遗传算法和神经网络算法进行决策模块的建模及初始化。
步骤103、根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。
本实施例中，是综合所述第一检测结果和所述第一决策结果，来确定是否阻止所述当前进程的，具体地，可根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果，根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果，然后根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
本发明实施例提供的安全性防御方法，所述检测模块可采用传统检测技术进行检测，准确率较高；而基于无监督学习的决策模块，可对同一体系的木马变种行为进行识别和判断，可弥补所述检测模块因不能及时适应木马变种而更新病毒库或检测规则所带来的不足，减少漏检的情况发生，从而提高病毒的检出率。
图2为本发明实施例二安全性防御方法的流程示意图，参看图2，本实施例的方法，可包括：
步骤201、通过检测模块对当前进程进行安全性检测，得到第一检测结果。
本实施例中，通过所述检测模块，可利用传统的检测手段，对当前进程进行安全性检测。
示例性地，可通过以下三种方式中的任一方式对当前进程进行安全性检测。
(1)根据特征码对所述当前进程所对应的实体文件进行对比检测。
(2)对所述当前进程在执行过程中所加载的动态的库文件进行检测。
(3)根据进程的敏感行为进行检测，
本发明实施例中进程的敏感行为可以为与操作系统内的安全相关、系统关键数据操作相关的应用程序接口调用操作。
步骤202、通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果。
本实施例中，可预先对所述决策模块进行建模。在一个例子中，可通过终端设备的环境，例如电脑上运行软件的状态，电脑硬件的信息，电脑上正在运行的状态，利用神经网络的数据遗传算法和/或神经网络算法进行决策模块的建模，即建立深度无监督机器学习模型。建模完成后对所述深度无监督机器学习模型的权重值进行初始化。
本实施例中，可获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果。
示例性地，可通过现有的进程文件检测技术捕捉到的进程的当前进程的属性、行为、文件内存、文件实体等信息来投递给决策模块，决策模块会根据当前自己的加权模拟神经网络的层状结构进行分析得出一个非线性的三维结果，作为示例，该三维结果可为一个包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量。
为便于根据所述第一决策结果快速地确定是否阻止所述当前进程，可将所述第一决策结果转换为分值，可根据所述分值的大小来确定是否阻止所述当前进程，比如当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
本发明实施例不限于此，在另一个例子中，也可利用k-means算法等聚类算法进行决策模块的建模。
步骤203、根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。
本实施例中，是综合所述第一检测结果和所述第一决策结果，来确定是否阻止所述当前进程的，具体地，可根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果，根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果，然后根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
具体地，所述根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程，可包括：
若根据所述第一检测结果确定阻止所述当前进程，则最终确定阻止所述当前进程；或者，若根据所述第一检测结果确定放行所述当前进程，但根据所述第一决策结果确定阻止所述当前进程，则最终确定阻止所述当前进程。
步骤204、获取放行所述当前进程之后的终端设备的状态信息。
所述终端设备(如电脑)的状态信息，包括终端设备上软件运行状态信息和/或硬件运行状态信息。可选地，还可包括用户的操作信息。
步骤205、对获取的所述状态信息，通过基于无监督的自学习模块，进行聚类分析。
自学习模块根据每次进行决策之后的终端设备(如电脑)的各种状态进行相当于判断决策的反馈，不断的更新决策模块中神经网络中的权重值，达到一种无监督模式下的聚类自学习方式，又可根据当前的反馈不断的去更新自学习方向的目标。
本实施例中，对获取的所述状态信息，通过基于无监督的自学习模块，进行聚类分析，以确定放行所述当前进程之后的终端设备的安全性，比如安全等级。
作为示例，可利用k-means算法，对获取的所述状态信息，进行聚类分析，以确定放行所述当前进程之后的终端设备的安全性。
步骤206、对所述深度无监督机器学习模型的权重值进行更新。
根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。示例性地，对所述权重值进行更新的梯度值可以是预先设定的梯度值。
本发明实施例提供的安全性防御方法，所述检测模块可采用传统检测技术进行检测，准确率较高；而基于无监督学习的决策模块，可对同一体系的木马变种行为进行识别和判断，可弥补所述检测模块因不能及时适应木马变种而更新病毒库或检测规则所带来的不足，减少漏检的情况发生，从而提高病毒的检出率。
本实施例中，可在传统的主动防御中加入自学习模块和决策模块，决策模块根据结合自身的决策和综合传统主动防御的结果进行对应的综合决策，自学习模块根据决策后终端设备(如电脑)的状态和终端用户的操作进行聚类自学习不断的更新决策模块的神经网络网状的权重值，同时也够强化自身的自学习方向，不断更新进步。
本实施例，根据自学习的方式决策和分析，可根据大量的自学习习惯每个用户的习惯和行为，从而更加智能的判断出当前进程的行为是否是木马行为。
采用本发明实施例的反病毒软件，可不用升级病毒库和添加病毒行为检测的规则。通过本实施例中的自学习模块可自学习更新检测的规则从而实现模拟安全分析师进行智能检测。
本实施例中，根据每个终端环境的不同。自学习模块可衍生出不同的决策信息和自学习模块的方向，从而更好的去保护终端用户的安全。
图3为本发明实施例三安全性防御装置的结构示意图，参看图3，本实施例的装置，可包括检测模块31、决策模块32和判断模块33。
其中，所述检测模块31，用于对当前进程进行安全性检测，得到第一检测结果；
所述决策模块32，用于通过无监督学习对所述当前进程进行安全性决策，得到第一决策结果；
所述判断模块33，用于根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程。
可选地，所述检测模块31，具体用于：
根据特征码对所述当前进程所对应的实体文件进行对比检测；和/或
对所述当前进程在执行过程中所加载的动态的库文件进行检测，得到第一检测结果。
可选地，所述决策模块32，具体用于：
获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；
将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果。
图4为本发明实施例四安全性防御装置的结构示意图，图4中被防御的目标系统即为本发明实施例所适用的终端设备。
参看图4，可选地，所述的安全性防御装置，还包括：
初始化模块34，用于根据所述终端设备上的环境信息，对所述深度无监督机器学习模型中的权重值进行初始化。
可选地，所述判断模块33，包括：
第一判断子模块331，用于根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果；
第二判断子模块332，用于根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果；
第三判断子模块333，用于根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
具体地，所述第三判断子模块333，具体用于：若根据所述第一检测结果确定阻止所述当前进程，则最终确定阻止所述当前进程；或者，若根据所述第一检测结果确定放行所述当前进程，但根据所述第一决策结果确定阻止所述当前进程，则最终确定阻止所述当前进程。
可选地，所述第一决策结果为包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量；
所述第二判断子模块332，具体用于：
将所述第一决策结果转换为分值；
当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
可选地，在确定放行所述当前进程之后，所述装置还包括：
自学习模块35，用于获取放行所述当前进程之后的终端设备的状态信息；对获取的所述状态信息，进行聚类分析；根据聚类分析结果确定放行所述当前进程之后的终端设备的安全等级；根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。
本实施例的装置，可以用于执行图1或图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
本发明实施例还提供一种电子设备，图5为本发明电子设备一个实施例的结构示意图，可以实现本发明图1-3所示实施例的流程，如图5所示，上述电子设备可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的方法。
处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1-2所示实施例的描述，在此不再赘述。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实施方式所述的方法。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。
尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种安全性防御方法，其特征在于，应用于终端设备，所述方法包括：
通过检测模块对当前进程进行安全性检测，得到第一检测结果；
通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果；
根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程；
其中，所述通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果，包括：
获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；
将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述基于无监督学习的决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果；
其中，在确定放行所述当前进程之后，所述方法还包括：
获取放行所述当前进程之后的终端设备的状态信息；
对获取的所述状态信息，通过基于无监督的自学习模块，进行聚类分析；
根据聚类分析结果确定放行所述当前进程之后的终端设备的安全等级；
根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。
2.根据权利要求1所述的安全性防御方法，其特征在于，所述通过检测模块对当前进程进行安全性检测，得到第一检测结果，包括：
根据特征码对所述当前进程所对应的实体文件进行对比检测；和/或
对所述当前进程在执行过程中所加载的动态的库文件进行检测，得到第一检测结果。
3.根据权利要求1所述的安全性防御方法，其特征在于，在所述通过基于无监督学习的决策模块对所述当前进程进行安全性决策，得到第一决策结果之前，所述方法包括：
根据所述终端设备上的环境信息，对所述深度无监督机器学习模型中的权重值进行初始化。
4.根据权利要求1所述的安全性防御方法，其特征在于，所述根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程，包括：
根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果；
根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果；
根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
5.根据权利要求4所述的安全性防御方法，其特征在于，所述第一决策结果为包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量；
其中，根据所述第一决策结果，确定是否阻止所述当前进程，包括：
将所述第一决策结果转换为分值；
当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
6.一种安全性防御装置，其特征在于，应用于终端设备，所述装置包括：
检测模块，用于对当前进程进行安全性检测，得到第一检测结果；
基于无监督学习的决策模块，用于通过无监督学习对所述当前进程进行安全性决策，得到第一决策结果；
判断模块，用于根据所述第一检测结果和所述第一决策结果，确定是否阻止所述当前进程；
其中，所述基于无监督学习的决策模块，具体用于：
获取当前进程的属性信息、行为信息、文件内存信息以及对应的实体文件信息；
将所述属性信息、行为信息、文件内存信息以及实体文件信息，作为特征向量，输入基于无监督学习的决策模块，以使所述基于无监督学习的决策模块根据深度无监督机器学习模型进行预测，得到第一决策结果；
其中，所述装置还包括：
自学习模块，用于获取放行所述当前进程之后的终端设备的状态信息；对获取的所述状态信息，进行聚类分析；根据聚类分析结果确定放行所述当前进程之后的终端设备的安全等级；根据通过所述聚类分析确定的所述终端设备的安全等级，对所述深度无监督机器学习模型的权重值进行更新。
7.根据权利要求6所述的安全性防御装置，其特征在于，所述检测模块，具体用于：
根据特征码对所述当前进程所对应的实体文件进行对比检测；和/或
对所述当前进程在执行过程中所加载的动态的库文件进行检测，得到第一检测结果。
8.根据权利要求6所述的安全性防御装置，其特征在于，还包括：
初始化模块，用于根据所述终端设备上的环境信息，对所述深度无监督机器学习模型中的权重值进行初始化。
9.根据权利要求6所述的安全性防御装置，其特征在于，所述判断模块，包括：
第一判断子模块，用于根据所述第一检测结果确定是否阻止所述当前进程得出第一判断结果；
第二判断子模块，用于根据所述第一决策结果确定是否阻止所述当前进程得出第二判断结果；
第三判断子模块，用于根据所述第一判断结果和第二判断结果做出综合判断，以最终确定是否阻止所述当前进程。
10.根据权利要求9所述的安全性防御装置，其特征在于，所述第一决策结果为包含分别表示属性信息元素、行为信息元素、文件内存信息元素的三维向量；
所述第二判断子模块，具体用于：
将所述第一决策结果转换为分值；
当所述分值大于预定阈值时，确定阻止所述当前进程，否则放行所述当前进程。
11.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1-5中任一所述的方法。
12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1-5中任一所述的方法。
CN201711494788.6A 2017-12-31 2017-12-31 安全性防御方法、装置、电子设备及存储介质 Active CN108804918B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711494788.6A CN108804918B (zh) 2017-12-31 2017-12-31 安全性防御方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711494788.6A CN108804918B (zh) 2017-12-31 2017-12-31 安全性防御方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN108804918A CN108804918A (zh) 2018-11-13
CN108804918B true CN108804918B (zh) 2020-07-31

Family

ID=64095039

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711494788.6A Active CN108804918B (zh) 2017-12-31 2017-12-31 安全性防御方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN108804918B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110602709B (zh) * 2019-09-16 2022-01-04 腾讯科技（深圳）有限公司 可穿戴式设备的网络数据安全方法、装置及存储介质
CN110968866B (zh) * 2019-11-27 2021-12-07 浙江工业大学 一种面向深度强化学习模型对抗攻击的防御方法
CN111083159A (zh) * 2019-12-27 2020-04-28 北京安天网络安全技术有限公司 一种入侵检测的方法、装置、电子设备及存储介质
CN111753301B (zh) * 2020-07-01 2024-04-09 深信服科技股份有限公司 一种无文件攻击检测方法、装置、电子设备和介质
CN113672923A (zh) * 2021-08-20 2021-11-19 北京安天网络安全技术有限公司 一种安全检测方法、装置、电子设备及存储介质

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8401982B1 (en) * 2010-01-14 2013-03-19 Symantec Corporation Using sequencing and timing information of behavior events in machine learning to detect malware
CN104091122A (zh) * 2014-06-17 2014-10-08 北京邮电大学 一种移动互联网恶意数据的检测系统
CN104123500B (zh) * 2014-07-22 2017-07-28 北京知多星科技有限公司 一种基于深度学习的Android平台恶意应用检测方法及装置
CN104331664B (zh) * 2014-11-27 2017-08-08 南京大学 一种在取证场景下自动分析未知恶意程序特征的方法
CN106599686B (zh) * 2016-10-12 2019-06-21 四川大学 一种基于tlsh特征表示的恶意软件聚类方法
CN107341401B (zh) * 2017-06-21 2019-09-20 清华大学 一种基于机器学习的恶意应用监测方法和设备
CN107392025B (zh) * 2017-08-28 2020-06-26 刘龙 基于深度学习的恶意安卓应用程序检测方法

Also Published As

Publication number Publication date
CN108804918A (zh) 2018-11-13

Similar Documents

Publication Publication Date Title
CN108804918B (zh) 安全性防御方法、装置、电子设备及存储介质
CN110741388B (zh) 对抗样本检测方法、装置、计算设备及计算机存储介质
US9652617B1 (en) Analyzing security of applications
Ham et al. Analysis of android malware detection performance using machine learning classifiers
CN111914569A (zh) 基于融合图谱的预测方法、装置、电子设备及存储介质
CN108038398B (zh) 一种二维码解析能力测试方法、装置及电子设备
CN110738211A (zh) 一种对象检测的方法、相关装置以及设备
CN106599680B (zh) 一种设置应用程序权限的方法、装置及电子设备
CN106250182B (zh) 一种文件处理方法、装置及电子设备
CN111030968A (zh) 一种可自定义威胁检测规则的检测方法、装置及存储介质
CN110868377A (zh) 一种网络攻击图的生成方法、装置及电子设备
CN115174250A (zh) 网络资产安全评估方法、装置、电子设备及存储介质
CN110652728A (zh) 一种游戏资源管理方法、装置、电子设备及存储介质
CN111030974A (zh) 一种apt攻击事件检测方法、装置及存储介质
CN112035334B (zh) 异常设备检测方法、装置、存储介质与电子设备
CN111062035B (zh) 一种勒索软件检测方法、装置、电子设备及存储介质
CN110611675A (zh) 向量级检测规则生成方法、装置、电子设备及存储介质
CN111027065A (zh) 一种勒索病毒识别方法、装置、电子设备及存储介质
CN114338102B (zh) 安全检测方法、装置、电子设备及存储介质
CN108875363B (zh) 一种加速虚拟执行的方法、装置、电子设备及存储介质
CN111461328B (zh) 一种神经网络的训练方法
CN114065005A (zh) 一种系统配置优化参数方法、装置、电子设备及存储介质
Ma Android application install-time permission validation and run-time malicious pattern detection
CN116244659B (zh) 一种识别异常设备的数据处理方法、装置、设备及介质
CN110868384B (zh) 确定网络环境中易受攻击的资产的方法、装置及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant