CN109857726B

CN109857726B - 一种应用特征库维护方法、装置、电子设备及存储介质

Info

Publication number: CN109857726B
Application number: CN201910147150.8A
Authority: CN
Inventors: 赖秋林
Original assignee: Sangfor Technologies Co Ltd
Current assignee: Sangfor Technologies Co Ltd
Priority date: 2019-02-27
Filing date: 2019-02-27
Publication date: 2023-05-12
Anticipated expiration: 2039-02-27
Also published as: CN109857726A

Abstract

本申请公开了一种应用特征库维护方法，区别于现有封闭的、仅由安全厂商凭借自身资源单方面维护应用特征库的现有技术，本申请提供了一个位于应用特征库上层的公开的特征收集接口，特征收集接口的公开使得在安全厂商自身之外还可以吸纳更广泛渠道提供的新应用特征和/或旧应用特征纠错信息，让应用特征库由多方资源共同维护，安全厂商仅需提供较少的审核资源即可在使得应用特征库在多方维护下具有更佳的应用识别能力，提升安全产品的市场竞争力。本申请还同时公开了一种应用特征库维护装置、电子设备及计算机可读存储介质，具有上述有益效果。

Description

一种应用特征库维护方法、装置、电子设备及存储介质

技术领域

本申请涉及应用识别技术领域，特别涉及一种应用特征库维护方法、装置、电子设备及计算机可读存储介质。

背景技术

应用识别是各个安全厂商所提供的安全产品中最为关键的核心技术之一，应用识别率越高，其安全产品的防护策略和管理规范就越准确，这是因为很多安全的防护措施都是通过应用的分类来进行的。

通常每个安全厂商都会维护一个应用特征库来实现应用识别，处于应用特征库中用于判别实际流量所属应用的应用特征通常都是有厂商自行从随机样本中提取得到的，即由安全厂商单方面负责维护(如图1所示)。但在当前互联网环境下，各种应用的更新非常快，特别是移动应用的更新，安全厂商单方面的维护速度往往跟不上应用的更新速度和新应用的出现速度，使得现有基于此种维护方式下的应用特征库在应用识别的识别速度和准确率上都不能满足市场提出的更高的要求。

因此，如何克服仅由安全厂商单方面维护应用特征库带来的技术缺陷，是本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种应用特征库维护方法、装置、电子设备及计算机可读存储介质，旨在解决现有技术中仅由安全厂商单方面的对应用特征库进行维护使得新应用特征和/或旧应用特征纠错信息数量少、更新不及时，导致应用识别速度、准确度不满足市场要求的问题。

为实现上述目的，本申请首先提供一种应用特征库维护方法，包括：

设置位于应用特征库上层的特征收集接口；

公开所述特征收集接口，并接收各种渠道通过公开的特征收集接口提交的待审核的新应用特征和/或旧应用特征纠错信息；

审核所述新应用特征和/或所述旧应用特征纠错信息，并将审核通过的新应用特征补充进所述应用特征库、根据审核通过的旧应用特征纠错信息修改所述应用特征库中的旧应用特征。

可选的，用于提交所述待审核的新应用特征和/或旧应用特征纠错信息的各种渠道包括：发布新应用和/或新版本应用的应用开发商、自行发现新应用特征和/或旧应用特征纠错信息的安全厂商员工、自行发现新应用特征和/或旧应用特征纠错信息的安全产品使用者、自行发现新应用特征和/或旧应用特征纠错信息的非安全产品使用者中的至少一种。

可选的，该应用特征库维护方法还包括：

根据每种渠道新应用特征和/或旧应用特征的提交数量和审核通过数量，计算得到每种渠道的提交通过率；

根据每种渠道的提交通过率的大小为对应渠道设置相应大小的优先级；

对应的，审核所述新应用特征和/或所述旧应用特征纠错信息，包括：

根据所述优先级的大小依次审核相应渠道提交的新应用特征和/或旧应用特征纠错信息。

可选的，该应用特征库维护方法还包括：

将所述优先级低于预设等级的渠道提交来的新应用特征和/或旧应用特征纠错信息交由具有审核权限的社会审核人员进行审核；其中，所述审核权限由所述应用特征库所属安全应用厂商经审核后下发。

可选的，在审核所述新应用特征和/或所述旧应用特征纠错信息之前，还包括：

对待审核的新应用特征和/或旧应用特征纠错信息进行恶意检测；

拦截存在恶意数据的新应用特征和/或旧应用特征纠错信息，并记录存在恶意数据的新应用特征和/或旧应用特征纠错信息的来源渠道。

可选的，所述特征收集接口具体为预设特征收集网页的访问路径和数据传输路径。

为实现上述目的，本申请还提供了一种应用特征库维护装置，包括：

特征收集接口设置单元，用于设置位于应用特征库上层的特征收集接口；

新特征及纠错信息多渠道收集单元，用于公开所述特征收集接口，并接收各种渠道通过公开的特征收集接口提交的待审核的新应用特征和/或旧应用特征纠错信息；

审核及补充修改单元，用于审核所述新应用特征和/或所述旧应用特征纠错信息，并将审核通过的新应用特征补充进所述应用特征库、根据审核通过的旧应用特征纠错信息修改所述应用特征库中的旧应用特征。

可选的，该应用特征库维护装置还包括：

提交通过率计算单元，用于根据每种渠道新应用特征和/或旧应用特征的提交数量和审核通过数量，计算得到每种渠道的提交通过率；

优先级设置单元，用于根据每种渠道的提交通过率的大小为对应渠道设置相应大小的优先级；

对应的，所述审核及补充修改单元包括：

按优先级依次审核子单元，用于根据所述优先级的大小依次审核相应渠道提交的新应用特征和/或旧应用特征纠错信息。

可选的，该应用特征库维护装置还包括：

分担审核单元，用于将所述优先级低于预设等级的渠道提交来的新应用特征和/或旧应用特征纠错信息交由具有审核权限的社会审核人员进行审核；其中，所述审核权限由所述应用特征库所属安全应用厂商经审核后下发。

可选的，该应用特征库维护装置还包括：

恶意检测单元，用于在审核所述新应用特征和/或所述旧应用特征纠错信息之前，对待审核的新应用特征和/或旧应用特征纠错信息进行恶意检测；

拦截及记录单元，用于拦截存在恶意数据的新应用特征和/或旧应用特征纠错信息，并记录存在恶意数据的新应用特征和/或旧应用特征纠错信息的来源渠道。

为实现上述目的，本申请还提供了一种电子设备，该电子设备包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述内容所描述的应用特征库维护方法。

为实现上述目的，本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述内容所描述的应用特征库维护方法。

显然，根据本申请提供的应用特征库维护方法可以看出，区别于现有封闭的、仅由安全厂商凭借自身资源单方面维护应用特征库的现有技术，本申请提供了一个位于应用特征库上层的公开的特征收集接口，特征收集接口的公开使得在安全厂商自身之外还可以吸纳更广泛渠道提供的新应用特征和/或旧应用特征纠错信息，让应用特征库由多方资源共同维护，安全厂商仅需提供较少的审核资源即可在使得应用特征库在多方维护下具有更佳的应用识别能力，提升安全产品的市场竞争力。

本申请同时还提供了一种应用特征库维护装置、电子设备及计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为现有技术提供的应用识别流程示意图；

图2为本申请实施例提供的一种应用特征库维护方法的流程图；

图3为本申请实施例提供的一种可通过公开的特征收集接口提交新应用特征和/或旧应用特征纠错信息的多种额外渠道的示意图；

图4为本申请实施例提供的应用特征库维护方法中一种审核方法的流程图；

图5为本申请实施例提供的一种应用识别流程示意图；

图6为本申请实施例提供的一种应用特征库维护装置的结构框图；

图7为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

实施例一

请参见图2，图2为本申请实施例提供的一种应用特征库维护方法的流程图，其包括以下步骤：

S101：设置位于应用特征库上层的特征收集接口；

为了解决现有技术中仅由安全厂商单方面维护应用特征库导致应用识别能力不佳的问题，本申请在保留安全厂商的基础上，还广泛吸纳社会多方面力量来共同维护该应用特征库，为实现这一目的，本申请首先增设了一个特征收集接口，该特征收集接口作为应用特征库的上层，用于承接来自社会各种渠道提交的新应用特征和/或旧应用特征纠错信息。

S102：公开特征收集接口，并接收各种渠道通过公开的特征收集接口提交的待审核的新应用特征和/或旧应用特征纠错信息；

在S101的基础上，为了让社会上各种渠道均能够将自行发现的新应用特征和/或旧应用特征纠错信息提供给安全厂商来丰富应用特征库，还需要将创建的特征收集接口公开，以在公开的状态下让社会上的各种渠道获知存在这一接口，具体公开方式多种多样，可以将该接口信息发布在各大网络媒体平台、公众号、论坛等公开平台上，以让尽可能多的有能力的社会公众获知。

其中，该特征收集接口在本质上只是一个用于公开的接收数据的通道，具体表现形式多种多样，例如可以是一个具有数据存储能力的Web站点的访问路径，一个数据存储服务器的数据上传路径、一个具有数据存储能力的云平台等等，此处并不做具体限定，只要能够实现本申请中为特征收集接口设计的功能即可，可根据实际应用场景下所有可能存在的特殊要求和限制因素灵活选择合适的表现形式。

其中，用于提交待审核的新应用特征和/或旧应用特征纠错信息的各种渠道可以包括(可参见图3)：发布新应用和/或新版本应用的应用开发商、自行发现新应用特征和/或旧应用特征纠错信息的安全厂商员工、自行发现新应用特征和/或旧应用特征纠错信息的安全产品使用者、自行发现新应用特征和/或旧应用特征纠错信息的非安全产品使用者中的至少一种。当然，上述说明中包括的内容可能并不全面，在复杂的实际应用场景下，也可以包括其它有能力发现新应用特征和/或旧应用特征纠错信息的群众，此处不再一一补充。

S103：审核新应用特征和/或旧应用特征纠错信息，并将审核通过的新应用特征补充进应用特征库、根据审核通过的旧应用特征纠错信息修改应用特征库中的旧应用特征。

在S102的基础上，本步骤旨在对通过特征收集接口提交来的新应用特征和/或旧应用特征纠错信息进行审核，以便使用审核通过的新应用特征和/旧应用特征纠错信息更新应用特征库中的已有数据，具体表现为将审核通过的新应用特征补充进应用特征库、根据审核通过的旧应用特征纠错信息修改应用特征库中的旧应用特征。

其中，审核一方面是为了验证各种社会渠道提交上来的新应用特征和/或旧应用特征纠错信息是否正确，另一方面也可以将各种社会渠道提交上来的数据进行归一化处理，防止与应用特征库中存储的数据格式、类型不一导致其它问题的出现。具体如何审核的步骤可以参见现有技术中安全厂商单方面维护应用特征库时的审核操作，具体的审核操作并非是本申请的发明点，此处不再详细说明。

进一步的，由于特征收集接口的公开，也使得该特征收集接口成为可被外部攻击的对象，因此为了防止恶意数据的入侵或外部恶意攻击，还可以在审核之前对待审核的新应用特征和/或旧应用特征进行恶意检测，并通过拦截存在恶意数据的新应用特征和/或旧应用特征纠错信息来防止恶意数据对应用特征库造成的影响。更进一步的，为了防止错误拦截导致有用数据的减少，还可以通过蜜罐技术来验证拦截到的数据是否确实存在恶意数据或存在恶意攻击手段。同时，为了便于追溯和追责，还可以记录存在恶意数据的新应用特征和/或旧应用特征纠错信息的来源渠道，并在该来源渠道被记录次数超过预设次数时施加异常或恶意标记，以重点分析或不接收该来源提交的数据。

进一步的，由于公开的特征收集接口可承载多种社会渠道提交的新应用特征和/或旧应用特征纠错信息，在运算资源充足的情况下，可以以并行处理的方式同时处理多个社会渠道提交来的新应用特征和/或旧应用特征纠错信息，以缩短处理时间；在运算资源不足的情况下，更适合采用串行或微并行(同时处理数量较少的多个数据的方式)的方式，以通过增加处理时间的方式减少对运算资源的需求。

在采用串行的处理方式下，还可以进一步的根据不同社会渠道的优先级(表征对应用识别能力的影响程度)来排列处理顺序，以让来自优先级最高的社会渠道提交来的数据能够最优先的被处理。具体的，优先级大小的确定方式多种多样，可以是由安全厂商根据自身经验自行设定的，也可以是根据每种社会渠道提交的历史数据经分析得到，此处并不做具体限定，且也可以按照其它原则或排列方式来为串行处理方式得到一个较为合理或符合要求的处理顺序。

相比于表示现有技术的图1，本申请提供的技术方法的示意图可参见图4。

根据本实施例提供的应用特征库维护方法可以看出，区别于现有封闭的、仅由安全厂商凭借自身资源单方面维护应用特征库的现有技术，本申请提供了一个位于应用特征库上层的公开的特征收集接口，特征收集接口的公开使得在安全厂商自身之外还可以吸纳更广泛渠道提供的新应用特征和/或旧应用特征纠错信息，让应用特征库由多方资源共同维护，安全厂商仅需提供较少的审核资源即可在使得应用特征库在多方维护下具有更佳的应用识别能力，提升安全产品的市场竞争力。

实施例二

请参见图5，图5为本申请实施例提供的一种应用识别流程示意图，在实施例一的基础上，本实施例提供了一种在串行处理方式按照优先级排列不同社会渠道提交来的数据的方式，并具体提供了一种计算优先级的方式，以使按照本实施例所提供的方案执行可以尽可能优先处理对应用识别能力影响最高、增益最明显的社会渠道提交来的数据，包括以下步骤：

S201：根据每种渠道新应用特征和/或旧应用特征的提交数量和审核通过数量，计算得到每种渠道的提交通过率；

S202：根据每种渠道的提交通过率的大小为对应渠道设置相应大小的优先级；

S203：根据优先级的大小依次审核相应渠道提交的新应用特征和/或旧应用特征纠错信息。

根据本实施例提供的技术方案可以看出，本实施例根据在相同条件下计算得到的每种渠道的提交通过率作为评判优先级大小的依据，这是因为提交通过率的大小直接反映了对应渠道找寻新应用特征和/或旧应用特征纠错信息的能力，当然，为了防止因分母数值(即提交数量)过低对优先级评判过程造成的影响，本实施例的方案还可以加入根据提交数量多少的修正机制(例如权重方法)。

在本实施例提供的优先级评判方式下，为防止存在大量需要审核的新应用特征和/或旧应用特征纠错信息因审核人员不足导致审核效率低，还可以在审核主力的安全厂商之外，引入社会审核力量，以充分利用社会力量。

一种包括但不限于的方式如下：

将优先级低于预设等级的渠道提交来的新应用特征和/或旧应用特征纠错信息交由具有审核权限的社会审核人员进行审核；其中，审核权限由应用特征库所属安全应用厂商经审核后下发。

为了调动各种社会渠道对提交和审核新应用特征和/或旧应用特征纠错信息的积极性，还可以引入合适的奖励机制，以在各种奖励的激励下使得应用特征库得到来自多方面的积极维护，使得基于应用特征库的应用识别能力得到提升。

因为情况复杂，无法一一列举进行阐述，本领域技术人员应能意识到根据本申请提供的基本方法原理结合实际情况可以存在很多的例子，在不付出足够的创造性劳动下，应均在本申请的保护范围内。

实施例三

下面请参见图6，图6为本申请实施例提供的一种应用特征库维护装置的结构框图，该装置可以包括：

特征收集接口设置单元100，用于设置位于应用特征库上层的特征收集接口；

新特征及纠错信息多渠道收集单元200，用于公开特征收集接口，并接收各种渠道通过公开的特征收集接口提交的待审核的新应用特征和/或旧应用特征纠错信息；

审核及补充修改单元300，用于审核新应用特征和/或旧应用特征纠错信息，并将审核通过的新应用特征补充进应用特征库、根据审核通过的旧应用特征纠错信息修改应用特征库中的旧应用特征。

进一步的，该应用特征库维护装置还可以包括：

对应的，该审核及补充修改单元300可以包括：

按优先级依次审核子单元，用于根据优先级的大小依次审核相应渠道提交的新应用特征和/或旧应用特征纠错信息。

进一步的，该应用特征库维护装置还可以包括：

分担审核单元，用于将优先级低于预设等级的渠道提交来的新应用特征和/或旧应用特征纠错信息交由具有审核权限的社会审核人员进行审核；其中，审核权限由应用特征库所属安全应用厂商经审核后下发。

更进一步的，该应用特征库维护装置还可以包括：

恶意检测单元，用于在审核新应用特征和/或旧应用特征纠错信息之前，对待审核的新应用特征和/或旧应用特征进行恶意检测；

拦截及记录单元，用于拦截存在恶意数据的新应用特征和/或旧应用特征，并记录存在恶意数据的新应用特征和/或旧应用特征的渠道。

本实施例对应于方法实施例，作为一个与方法实施例对应的装置实施例存在，上述各功能单元已通过方法实施例中的解释说明给出功能实现原理和步骤，拥有方法实施例的全部有益效果，此处不再一一赘述。

图7是根据一示例性实施例示出的一种电子设备400的框图。如图7所示，电子设备400可以包括处理器401和存储器402，还可以进一步包括多媒体组件403、信息输入/信息输出(I/O)接口404以及通信组件405中的一者或多者。

其中，处理器401用于控制电子设备400的整体操作，以完成上述应用特征库维护方法中的部分或全部步骤；存储器402用于存储各种类型的数据以支持处理器401需要执行的各步骤操作，这些数据例如可以包括用于在该电子设备400上操作的任何应用程序或方法的指令，以及应用程序相关的数据，例如以提交上来的新应用特征和/或旧应用特征纠错信息、审核规则等。该存储器402可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，例如静态随机存取存储器(Static Random Access Memory，SRAM)、电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、可擦除可编程只读存储器(Erasable Programmable Read-Only Memory，EPROM)、可编程只读存储器(Programmable Read-Only Memory，PROM)、只读存储器(Read-Only Memory，ROM)、磁存储器、快闪存储器、磁盘或光盘中的一者或多者。

多媒体组件403可以包括屏幕和音频组件。其中屏幕例如可以是触摸屏，音频组件用于输出和/或输入音频信号。例如，音频组件可以包括一个麦克风，麦克风用于接收外部音频信号。所接收的音频信号可以被进一步存储在存储器402或通过通信组件405发送。音频组件还包括至少一个扬声器，用于输出音频信号。I/O接口404为处理器401和其他接口模块之间提供接口，上述其他接口模块可以是键盘，鼠标等。通信组件405用于电子设备400与其他设备之间进行有线或无线通信。无线通信，例如Wi-Fi，蓝牙，近场通信(Near FieldCommunication，简称NFC)，2G、3G或4G，或它们中的一种或几种的组合，因此相应的该通信组件405可以包括：Wi-Fi模块，蓝牙模块，NFC模块。

在一示例性实施例中，电子设备400可以被一个或多个应用专用集成电路(Application Specific Integrated Circuit，简称ASIC)、数字信号处理器(DigitalSignal Processor，简称DSP)、数字信号处理设备(Digital Signal Processing Device，简称DSPD)、可编程逻辑器件(Programmable Logic Device，简称PLD)、现场可编程门阵列(Field Programmable Gate Array，简称FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述实施例给出的应用特征库维护方法。

在另一示例性实施例中，还提供了一种存储有程序指令的计算机可读存储介质，该程序指令将在被处理器执行时实现与该程序指令对应的操作。例如，该计算机可读存储介质可以为上述包括程序指令的存储器402，上述程序指令具体为可由电子设备400的处理器401在执行时完成上述实施例给出的应用特征库维护方法。

本文中应用了具体个例对本申请的原理及实施方式进行了阐述，且各个实施例间为递进关系，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，可参见对应的方法部分说明。以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其它变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其它要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种应用特征库维护方法，其特征在于，包括：

设置位于应用特征库上层的特征收集接口；

审核所述新应用特征和/或所述旧应用特征纠错信息，并将审核通过的新应用特征补充进所述应用特征库、根据审核通过的旧应用特征纠错信息修改所述应用特征库中的旧应用特征；

其中，审核所述新应用特征和/或所述旧应用特征纠错信息，包括：

验证所述新应用特征和/或所述旧应用特征纠错信息是否正确；

对所述新应用特征和/或所述旧应用特征纠错信息进行归一化处理。

2.根据权利要求1所述的应用特征库维护方法，其特征在于，用于提交所述待审核的新应用特征和/或旧应用特征纠错信息的各种渠道包括：发布新应用和/或新版本应用的应用开发商、自行发现新应用特征和/或旧应用特征纠错信息的安全厂商员工、自行发现新应用特征和/或旧应用特征纠错信息的安全产品使用者、自行发现新应用特征和/或旧应用特征纠错信息的非安全产品使用者中的至少一种。

3.根据权利要求2所述的应用特征库维护方法，其特征在于，还包括：

4.根据权利要求3所述的应用特征库维护方法，其特征在于，还包括：

5.根据权利要求1至4任一项所述的应用特征库维护方法，其特征在于，在审核所述新应用特征和/或所述旧应用特征纠错信息之前，还包括：

6.根据权利要求5所述的应用特征库维护方法，其特征在于，所述特征收集接口具体为预设特征收集网页的访问路径和数据传输路径。

7.一种应用特征库维护装置，其特征在于，包括：

审核及补充修改单元，用于审核所述新应用特征和/或所述旧应用特征纠错信息，并将审核通过的新应用特征补充进所述应用特征库、根据审核通过的旧应用特征纠错信息修改所述应用特征库中的旧应用特征；

其中，所述审核及补充修改单元，具体用于验证所述新应用特征和/或所述旧应用特征纠错信息是否正确；对所述新应用特征和/或所述旧应用特征纠错信息进行归一化处理。

8.根据权利要求7所述的应用特征库维护装置，其特征在于，还包括：

对应的，所述审核及补充修改单元包括：

9.根据权利要求8所述的应用特征库维护装置，其特征在于，还包括：

10.根据权利要求7至9任一项所述的应用特征库维护装置，其特征在于，还包括：

11.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至6任一项所述的应用特征库维护方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述的应用特征库维护方法。