CN115329331A - 应用程序的入侵检测方法及装置、存储介质和电子设备 - Google Patents

Abstract

本公开涉及计算机技术领域，涉及应用程序的入侵检测方法及装置、计算机可读存储介质和电子设备，包括：提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征包括静态行为特征和动态行为特征；根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集，所述入侵行为特征集为根据所述行为特征中的入侵行为特征得到；基于更新后的入侵行为特征集，对应用程序的各所述行为层进行入侵检测。本公开能提高应用程序的入侵检测的全面性，保障应用程序的安全运行。

Description

应用程序的入侵检测方法及装置、存储介质和电子设备

技术领域

本公开涉及计算机技术领域，更具体地，涉及一种应用程序的入侵检测方法、应用程序的入侵检测装置、计算机可读存储介质和电子设备。

背景技术

应用程序在使用过程中，受到安全漏洞、恶意代码、使用人员非法攻击或者误操作等各方面的安全性威胁，对应用系统的保护不应该依赖于外部系统，应用程序应该具备自我防御的能力。

但是，相关技术中的应用程序在运行时不能全面有效地进行入侵检测，应用程序的安全性难以获得保障。

需要说明的是，在上述背景技术部分发明的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种应用程序的入侵检测方法及装置、计算机可读存储介质和电子设备，进而提高应用程序的安全防御的全面性。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开的一个方面，提供一种应用程序的入侵检测方法，包括：

提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征包括静态行为特征和动态行为特征；

根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集，所述入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

基于更新后的入侵行为特征集，对应用程序的各所述行为层进行入侵检测。

在本公开的一种示例性实施例中，所述提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，包括：

通过静态分析方式对所述样本程序进行行为特征提取，得到所述静态行为特征；

采用动态分析方式对所述样本程序进行行为特征提取，得到所述动态行为特征；

根据所属行为层的类型，将所述静态行为特征和所述动态行为特征划分至不同类型的行为层所对应的行为特征集。

在本公开的一种示例性实施例中，在所述根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集之前，所述方法还包括：获取所述入侵行为特征集；

所述获取所述入侵行为特征集，包括：

提取所述存在入侵威胁的样本程序的入侵行为特征；

将所述入侵行为特征划分至所属行为层对应的行为特征集，得到对应于不同类型的行为层的入侵行为特征集。

在本公开的一种示例性实施例中，所述根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集，包括：

对于任一类型的行为层，将所述行为特征集与所述入侵行为特征集进行特征匹配；

若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集。

在本公开的一种示例性实施例中，所述提取样本程序的行为特征，还包括：

对所述行为特征进行动静态分析，确定所述行为特征的入侵检测结果；

所述若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集，包括：

若所述目标行为特征的入侵检测类型为威胁行为，将所述目标行为特征添加至所述入侵行为特征集。

在本公开的一种示例性实施例中，所述基于更新后的入侵行为特征集，对所述应用程序的各所述行为层进行入侵检测，包括：

根据所述更新后的入侵行为特征集，确定各类型的行为层对应的防护触发条件；

所述应用程序的运行过程中，针对各类型的行为层，利用各自对应的防护触发条件进行入侵检测。

在本公开的一种示例性实施例中，所述基于更新后的入侵行为特征集，对所述应用程序的各所述行为层进行入侵检测，还包括：

根据所述更新后的入侵行为特征集，确定各类型的行为层所对应的防护策略；

如存在目标行为层的入侵行为特征符合所对应的防护触发条件，则触发对应的目标防护策略。

在本公开的一种示例性实施例中，所述方法还包括：

提取所述应用程序的在所述目标行为层的候选行为特征；

若所述候选行为特征的入侵检测类型为威胁行为，利用所述候选行为特征更新所述入侵行为特征集。

根据本公开的一个方面，提供一种应用程序的入侵检测装置，所述装置包括：

特征提取模块，用于提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征数据包括静态行为特征和动态行为特征；

特征集更新模块，用于根据各所述行为层的行为特征集与对应的入侵行为特征集的匹配结果，对所述入侵行为特征集进行更新，所述入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

检测模块，用于基于更新后的入侵行为特征集，对各所述行为层进行应用程序的入侵检测。

根据本公开的一个方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任意一项所述的方法。

根据本公开的一个方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任意一项所述的方法。

本公开的示例性实施例中的应用程序的入侵检测方法，一方面，通过同时提取静态行为特征和动态行为特征，提高样本程序的行为特征的全面性；另一方面，将行为特征中的入侵行为特征得到的入侵行为特征集，分别与所属行为层对应的行为特征集进行匹配，以根据匹配结果，更新对应行为层的入侵行为特征集，实现对每个行为层的入侵行为集的动态更新，以利用更新后的入侵行为特征集对各行为层进行入侵检测，避免遗漏入侵特征的同时，提高应用程序在各个行为层的入侵检测的表象准确性；再一方面，通过入侵行为特征集与行为特征集的匹配来更新入侵行为特征集，然后再将更新后的入侵行为特征集应用至应用程序的自我防护，提高应用程序的运行安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

通过参考附图阅读下文的详细描述，本公开示例性实施方式的上述以及其他目的、特征和优点将变得易于理解。在附图中，以示例性而非限制性的方式示出了本公开的若干实施方式，其中：

图1示出了根据本公开示例性实施例所涉及的一种应用场景图；

图2示出了根据本公开示例性实施例的一种应用程序的入侵检测方法的流程图；

图3示出了根据本公开示例性实施例的一种应用程序的入侵检测方法的应用场景的架构图；

图4示出了根据本公开示例性实施例的一种应用场景下的基于RASP的应用程序的自我防护的流程示意图；

图5示出了根据本公开示例性实施例的一种应用程序的入侵检测装置的架构示意图；

图6示出了根据本公开示例性实施例的电子设备的框图。

在附图中，相同或对应的标号表示相同或对应的部分。

具体实施方式

现在将参考附图更全面地描述示例性实施方式。然而，示例性实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施例使得本公开将更加全面和完整，并将示例性实施方式的构思全面地传达给本领域的技术人员。图中相同的附图标记表示相同或类似的结构，因而将省略它们的详细描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知结构、方法、装置、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个软件硬化的模块中实现这些功能实体或功能实体的一部分，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

在本领域的相关技术中，应用程序在使用过程中，受到安全漏洞、恶意代码、使用人员非法攻击或者误操作等各方面的安全性威胁，对应用系统的保护不应该依赖于外部系统，应用程序应该具备自我防御的能力

在相关技术中，基于程序行为分析技术的入侵检测中，采用应用程序的静态行为分析对应用程序进行入侵检测，但是静态分析易产生误报率，而采用应用程序的动态行为分析对应用程序进行入侵检测，则易产生漏报率，影响入侵检测的全面有效性。

基于此，在本公开示例性实施例中，首先提供了一种应用程序的入侵检测方法。参考图1为本公开示例性实施例所涉及的一种应用场景图。如图1所示，应用程序运行过程中，可能遭受安全漏洞、恶意代码、使用人员非法攻击或者误操作等各方面的安全性威胁，影响应用程序的正常运行。通过对应用程序进行入侵检测的方式，使得应用程序具备自我防护的能力，实现应用程序运行时的自我防护。其中，应用程序可以为安装于电子设备上的应用程序，电子设备例如可以为智能手机、平板电脑、台式电脑、可穿戴电子设备等，在此不做限定。

值得说明的是，使得应用程序具备入侵检测的能力，可以采用注入式的方式在应用程序注入，使得应用程序具备该能力；或者，也可以采用非注入式的方式为应用程序增加以上入侵检测能力，例如锚点的方式，本公开实施例对此不做特殊限定。

如图2示出了根据本公开实施例的一种应用程序的入侵检测方法的流程图，如图2所示，本公开实施例的应用程序的入侵检测方法可以包括步骤S210至步骤S230：

步骤S210：提取样本程序的行为特征，将行为特征划分至所属行为层对应的行为特征集，其中行为特征包括静态行为特征和动态行为特征；

步骤S220：根据行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各行为层的入侵行为特征集，其中入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

步骤S230：基于更新后的入侵行为特征集，对应用程序的各行为层进行入侵检测。

根据本公开实施例的应用程序的入侵检测方法，通过同时提取静态行为特征和动态行为特征，提高样本程序的行为特征的全面性；将行为特征中的入侵行为特征得到的入侵行为特征集，分别与所属行为层对应的行为特征集进行匹配，以根据匹配结果，更新对应行为层的入侵行为特征集，实现对每个行为层的入侵行为集的动态更新，以利用更新后的入侵行为特征集对各行为层进行入侵检测，避免遗漏入侵特征的同时，提高应用程序检测的表象准确性；通过入侵行为特征集与行为特征集的匹配来更新入侵行为特征集，然后再将更新后的入侵行为特征集应用至应用程序的自我防护，提高应用程序的运行安全性。

下面结合图2对本公开实施例的应用程序的入侵检测方法进行详细阐述。

在步骤S210中，提取样本程序的行为特征，将行为特征划分至所属行为层对应的行为特征集。

在本公开示例性实施例中，行为特征包括静态行为特征和动态行为特征。将应用程序静态行为分析和动态行为分析相结合的分析模式，通过静态分析方式对样本程序进行行为特征提取，得到静态行为特征，采用动态分析方式对样本程序进行特征提取，得到动态行为特征。其中，静态分析方式包括但不限于反汇编、静态文件分析、控制流分析和数据流分析等；动态分析方式包括但不限于状态分析法、系统调度分析和动态追踪等，在此不做特殊限定。

提取样本程序的行为特征中包括样本程序的入侵行为特征，也包括样本程序的非入侵行为特征。

在一示例性实施例中，在提取样本程序的静态行为特征和动态行为特征的同时，还可以对各行为特征进行动静态分析，确定各行为特征的入侵检测结果。

其中，动静态分析方式为静态分析方式和动态分析方式，通过采用以上动静态分析方式，能够同时确定行为特征的入侵检测结果。入侵检测结果指示行为特征是否为威胁行为。

本公开实施例通过结合静态行为分析和动态行为分析，提高行为特征的全面性，以增加应用程序的入侵检测的特征宽度。

在一示例性实施例中，根据行为特征所属的行为层的类型，将提取的样本程序的行为特征进行分组，得到对应于不同行为层的行为特征集。

其中，行为层包括网络访问层、文件访问层、进程启动层、注册表层、系统服务层以及其它行为层等。将提取的行为特征划分至各类型的行为层，以得到与行为层一一对应的行为特征集。

示例性的，网络访问层的行为特征集包括邮件监控特征、网页监控特征、端口监控特征等；文件访问层的行为特征集包括文件类型监控特征、文件调用监控特征等；进程启动层的行为特征集包括进程监控特征等等，对此不再一一列举。

通过将行为特征划分至所属行为层对应的行为特征集，实现行为特征的分层整理，清晰反映应用程序各行为层的行为特征，以在进行入侵分析检测时，能对每个行为层进行针对性分析，进而提高对于应用程序整体的行为分析准确性和完整性。

在步骤S220中，根据行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各行为层的入侵行为特征集。

在本公开示例性实施例中，入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到，亦即从存在入侵威胁的样本程序中提取入侵行为特征得到入侵行为特征集。

与样本程序的行为特征集的处理方式相同，本公开实施例也需要将提取到的入侵行为特征，按照所属行为层的类型进行分组。因此在根据行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各行为层的入侵行为特征集之前，可以先获取入侵行为特征集，可以包括以下步骤：

提取存在入侵威胁的样本程序的入侵行为特征；

将入侵行为特征划分至所属行为层对应的行为特征集，得到对应于不同类型的行为层的入侵行为特征集。

在一示例性实施例中，可以获取各种存在入侵威胁的样本程序，并获取存在入侵威胁的样本程序的入侵行为特征样本，并将入侵行为特征样本划分为对应于不同行为层的入侵行为特征样本集，然后利用各层的入侵行为特征样本集对特征提取模型进行训练，分别得到每个行为层所对应的特征提取模型。

进一步的，对于存在入侵威胁的样本程序，可以采用预先训练的每个行为层的特征提取模型，对于存在入侵威胁的样本程序进行入侵行为特征的提取，得到各行为层的入侵行为特征集。

基于存在入侵威胁的样本程序的行为特征，提取各行为层的入侵行为特征集，以利用各行为层的入侵行为特征集对应用程序的各行为层进行有针对性的入侵检测。

在一示例性实施例中，针对每个行为层，根据行为特征集与所属行为层对应的入侵行为特征集的匹配结果，更新该行为层的入侵行为特征集，实现入侵行为特征集的分层更新，各层间互不干扰，确保每层入侵行为特征的全面准确性。根据行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各行为层的入侵行为特征集，可以包括：

对于任一类型的行为层，将行为特征集与入侵行为特征集进行特征匹配；

若行为特征集中存在与入侵行为特征集不匹配的目标行为特征，根据目标行为特征更新入侵行为特征集。

示例性的，若网络访问层的行为特征集为{a,b,c,d,e}，网络访问层的入侵行为特征集为{a,b,d}，则确定目标行为特征为c和e，则可以根据目标行为特征c和e对入侵行为特征集进行更新。

在一示例性实施例中，虽然目标行为特征未存在于入侵行为特征集，但目标行为特征可以是入侵行为特征，但也可以是非入侵行为特征。由于对行为特征进行动静态分析可以确定行为特征的入侵检测结果，所以可以获取目标行为特征c和e的入侵检测结果，并根据入侵检测结果确定是否将目标行为特征c和e添加至入侵行为特征集。

其中，若目标行为特征的入侵检测类型为威胁行为，将目标行为特征添加至入侵行为特征集，也就是说，仅是将确定为威胁行为特征的目标行为特征添加至入侵行为特征集，确保入侵行为特征集能准确反映样本程序的威胁特征，避免引入非入侵行为特征，提高了基于入侵行为特征集进行应用程序入侵检测的准确性。

值得说明是，各行为层之间的特征匹配和更新是彼此独立进行、互不干扰的，提高各行为层的入侵行为特征集的准确性和完整性。

在步骤S230中，基于更新后的入侵行为特征集，对应用程序的各行为层进行入侵检测。

在本公开示例性实施例中，可以根据各行为层的更新后的入侵行为特征集，对应用程序的各行为层分别进行入侵检测。

其中，可以根据更新后的入侵行为特征集确定各类型的行为层对应的防护触发条件，亦即在各个层面确定对应的防护触发条件。在应用程序的运行过程中，针对各类型的行为层，利用各自对应的防护触发条件进行入侵检测。

各行为层的行为特征在满足防护触发条件的情况下，进行防护响应。可以根据更新后的入侵行为特征集，确定各类型的行为层所对应的防护策略，若存在目标行为层的入侵行为特征符合所对应的防护触发条件，则触发对应的目标防护策略。

示例性，若网络访问层存在入侵行为特征的数量大于预设的数量阈值(防护触发条件)，则触发对应的目标防护策略。数量阈值可以根据具体的业务类型动态调整，例如为1个，2个，3个等，对此不做特殊限定。

其中，不同行为层对应的目标防护策略不同，如网络访问层与文件访问层的目标防护策略不同，根据实际的入侵检测策略来确定。

值得说明的是，不同应用程序对应的业务类型可能也不同，所以不同应用程序的相同行为层的目标防护策略可能也不同。例如，即时通讯应用程序的文件访问层的目标防护策略，与音乐应用程序的文件访问层的目标防护策略可以不同。

目标防护策略可以针对应用程序的不同防护手段，还可以根据目标行为层的入侵行为特征的威胁程度确定目标防护策略。例如发出告警信息并允许继续访问应用程序、发出告警并阻止继续访问应用程序，等等。

本公开实施例基于更新后的入侵行为特征集，能够针对应用程序设计更全面的自我防护策略，实现对应用程序的各行为层进行入侵检测，确保应用程序的入侵检测全面性，保障应用程序的安全性。

在一示例性实施例中，还可以提取应用程序在目标行为层的候选行为特征，若候选行为特征的入侵检测类型为威胁行为，利用候选行为特征更新入侵行为特征集。

其中，在基于更新后的入侵行为特征集，确定目标行为层存在入侵威胁后，还可以提取目标行为层中的行为特征(候选行为特征)，并且在基于动静态分析方式提取动静态行为特征时，同时确定候选行为特征的入侵检测结果。因此，若候选行为特征的入侵检测类型为威胁行为，可以将该候选行为特征添加至入侵行为特征集。

本公开实施例通过更新后的入侵行为特征集对应用程序进行入侵检测，然后再根据入侵检测结果得到的候选行为特征对入侵行为特征集再次进行更新，在入侵检测与更新入侵行为特征集之间形成相互验证，提高应用程序入侵检测的准确性的同时，也提高入侵行为特征集的完整性，提高应用程序的入侵检测的全面有效性。

图3示出了应用程序的入侵检测方法的应用场景的架构图，如图3所示，在获得更新后的入侵行为特征集后，基于入侵行为特征集设计应用自我检测和防护策略，如将入侵行为特征集应用于RASP(RunningTime Application Self-Protection,应用程序自我防护)中。

如图3，应用程序的入侵检测装置300包括特征提取模块310、特征分层分析模块320、特征判别模块330。通过特征判别模块330得到的更新后的入侵行为特征集，应用于RASP中，以对运行中应用程序进行入侵检测。

相应的，图4示出了应用场景下的基于RASP的应用程序的自我防护的流程示意图。基于更新后的入侵行为特征集，在应用程序的各行为层设置对应的防护触发条件。

下面结合图3和图4，对本公开实施例的应用程序的入侵检测方法进行说明。

1)通过特征提取模块310提取样本程序的行为特征。

行为特征包括通过静态分析方式获得静态行为特征和通过动态分析方式获得的动态行为特征。

2)通过特征分层分析模块320将提取的行为特征划分至所属行为层对应的行为特征集。

通过对行为特征进行数据分析整理，将行为特征划分至对应于不同行为层的行为特征集。其中，行为层包括网络访问层、文件访问层、进行启动层、系统服务层等。

3)通过特征判别模块330将行为特征集与所属行为层对应的入侵行为特征集进行匹配。

对于任一类型的行为层，通过特征判别模块330将行为特征集与入侵行为特征集进行特征匹配，若行为特征集中存在与入侵行为特征集不匹配的目标行为特征，根据目标行为特征更新入侵行为特征集，以将更新后的入侵行为特征集应用于RASP，如基于入侵行为特征集设计RASP应用系统，以加大应用程序的自我检测和防护的力度和宽度。其中，入侵行为特征集为根据存在入侵威胁的样本程序中提取的入侵行为特征得到的。

其中，RASP基于更新后的入侵行为特征集进行应用程序的自我防护可以包括：

在应用程序的各个行为层，根据更新后的入侵行为特征集设置对应的防护触发条件、防护策略。参见图4，在应用程序的运行过程中，用户访问或遭受攻击时，当存目标行为层的入侵行为特征符合所对应的防护触发条件，则触发对应的目标防护策略，使得应用程序实现运行时的自我防护。

另外，若应用程序执行正常访问时，则不触发目标防护策略，不影响应用程序的正常运行。

需要说明的是，本示例性实施例以将入侵行为特征集应用于RASP为例进行说明，入侵行为特征集也可以应用于并为其它防护系统的设计提供参考。

本公开的示例性实施例中的应用程序的入侵检测方法，通过同时提取静态行为特征和动态行为特征，提高样本程序的行为特征的全面性；另一方面，将行为特征中的入侵行为特征得到的入侵行为特征集，分别与所属行为层对应的行为特征集进行匹配，以根据匹配结果，更新对应行为层的入侵行为特征集，实现对每个行为层的入侵行为集的动态更新，以利用更新后的入侵行为特征集对各行为层进行入侵检测，避免遗漏入侵特征的同时，提高应用程序检测的表象准确性；此外，通过入侵行为特征集与行为特征集的匹配来更新入侵行为特征集，然后再将更新后的入侵行为特征集应用至RASP，以进行应用程序的自我防护，提高运行时应用的自我防护的全面性和有效性。

另外，基于更新后的入侵行为特征集，将有助有针对应用程序的不同行为层面设置防护触发条件和防护策略，为设计出更全面的应用程序自我检测和防护策略提供参考，对于进一步促进应用程序的应用具有实际意义。

此外，根据本公开的示例性实施例，还提供一应用程序的入侵检测装置，如图5所示，该装置500包括：

特征提取模块510，用于提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征数据包括静态行为特征和动态行为特征；

特征集更新模块520，用于根据各所述行为层的行为特征集与对应的入侵行为特征集的匹配结果，对所述入侵行为特征集进行更新，所述入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

检测模块530，用于基于更新后的入侵行为特征集，对各所述行为层进行应用程序的入侵检测。

在本公开一示例性实施例中，特征提取模块510可以包括：

第一分析单元，用于通过静态分析方式对所述样本程序进行行为特征提取，得到所述静态行为特征；

第二分析单元，用于采用动态分析方式对所述样本程序进行行为特征提取，得到所述动态行为特征；

特征分层单元，用于根据所属行为层的类型，将所述静态行为特征和所述动态行为特征划分至不同类型的行为层所对应的行为特征集。

在本公开一示例性实施例中，应用程序的入侵检测装置500还包括：入侵行为特征集获取模块，用于获取所述入侵行为特征集；

所述入侵行为特征集获取模块被配置为：

提取存在入侵威胁的样本程序的入侵行为特征；

将所述入侵行为特征划分至所属行为层对应的行为特征集，得到对应于不同类型的行为层的入侵行为特征集。

在本公开一示例性实施例中，特征集更新模块520被配置为：

对于任一类型的行为层，将所述行为特征集与所述入侵行为特征集进行特征匹配；

若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集。

在本公开一示例性实施例中，特征提取模块510还被配置为：

对所述行为特征进行动静态分析，确定所述行为特征的入侵检测结果；

所述若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集，包括：

若所述目标行为特征的入侵检测类型为威胁行为，将所述目标行为特征添加至所述入侵行为特征集。

在本公开一示例性实施例中，检测模块530还包括：

第一确定单元，用于根据所述更新后的入侵行为特征集，确定各类型的行为层对应的防护触发条件；

检测单元，用于所述应用程序的运行过程中，针对各类型的行为层，利用各自对应的防护触发条件进行入侵检测。

在本公开一示例性实施例中，检测模块530还包括：

第二确定单元，用于根据所述更新后的入侵行为特征集，确定各类型的行为层所对应的防护策略；

防护单元，用于如存在目标行为层的入侵行为特征符合所对应的防护触发条件，则触发对应的目标防护策略。

在本公开一示例性实施例中，应用程序的入侵检测装置500还包括：

验证模块，用于提取所述应用程序的在所述目标行为层的候选行为特征；

若所述候选行为特征的入侵检测类型为威胁行为，利用所述候选行为特征更新所述入侵行为特征集。

由于本公开的示例性实施例的应用程序的入侵检测装置的各个功能模块(单元)的具体细节在上述应用程序的入侵检测方法的发明实施例中已经详细说明，因此不再赘述。

应当注意，尽管在上文详细描述中提及了应用程序的入侵检测装置的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，在本公开示例性实施方式中，还提供了一种能够实现上述方法的计算机存储介质。其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施例中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施例的步骤。

本公开实施例还提供用于实现上述方法的程序产品，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施例、完全的软件实施例(包括固件、微代码等)，或硬件和软件方面结合的实施例，这里可以统称为“电路”、“模块”或“系统”。

下面参照图6来描述根据本公开的这种实施例的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：上述至少一个处理单元610、上述至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630、显示单元640。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施例的步骤。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)621和/或高速缓存存储单元622，还可以进一步包括只读存储单元(ROM)623。

存储单元620还可以包括具有一组(至少一个)程序模块625的程序/实用工具624，这样的程序模块625包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备700(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器660通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施例的方法。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

Claims (10)

1.一种应用程序的入侵检测方法，其特征在于，包括：

提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征包括静态行为特征和动态行为特征；

根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集，所述入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

基于更新后的入侵行为特征集，对应用程序的各所述行为层进行入侵检测。

2.根据权利要求1所述的方法，其特征在于，所述提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，包括：

通过静态分析方式对所述样本程序进行行为特征提取，得到所述静态行为特征；

采用动态分析方式对所述样本程序进行行为特征提取，得到所述动态行为特征；

根据所属行为层的类型，将所述静态行为特征和所述动态行为特征划分至不同类型的行为层所对应的行为特征集。

3.根据权利要求1所述的方法，其特征在于，在所述根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集之前，所述方法还包括：获取所述入侵行为特征集；

所述获取所述入侵行为特征集，包括：

提取所述存在入侵威胁的样本程序的入侵行为特征；

将所述入侵行为特征划分至所属行为层对应的行为特征集，得到对应于不同类型的行为层的入侵行为特征集。

4.根据权利要求1所述的方法，其特征在于，所述根据所述行为特征集与所属行为层对应的入侵行为特征集的匹配结果，分别更新各所述行为层的入侵行为特征集，包括：

对于任一类型的行为层，将所述行为特征集与所述入侵行为特征集进行特征匹配；

若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集。

5.根据权利要求4所述的方法，其特征在于，所述提取样本程序的行为特征，还包括：

对所述行为特征进行动静态分析，确定所述行为特征的入侵检测结果；

所述若所述行为特征集中存在与所述入侵行为特征集不匹配的目标行为特征，根据所述目标行为特征更新所述入侵行为特征集，包括：

若所述目标行为特征的入侵检测类型为威胁行为，将所述目标行为特征添加至所述入侵行为特征集。

6.根据权利要求1所述的方法，其特征在于，所述基于更新后的入侵行为特征集，对所述应用程序的各所述行为层进行入侵检测，包括：

根据所述更新后的入侵行为特征集，确定各类型的行为层对应的防护触发条件；

所述应用程序的运行过程中，针对各类型的行为层，利用各自对应的防护触发条件进行入侵检测。

7.根据权利要求6所述的方法，其特征在于，所述基于更新后的入侵行为特征集，对所述应用程序的各所述行为层进行入侵检测，还包括：

根据所述更新后的入侵行为特征集，确定各类型的行为层所对应的防护策略；

如存在目标行为层的入侵行为特征符合所对应的防护触发条件，则触发对应的目标防护策略。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

提取所述应用程序的在所述目标行为层的候选行为特征；

若所述候选行为特征的入侵检测类型为威胁行为，利用所述候选行为特征更新所述入侵行为特征集。

9.一种应用程序的入侵检测装置，其特征在于，包括：

特征提取模块，用于提取样本程序的行为特征，将所述行为特征划分至所属行为层对应的行为特征集，所述行为特征数据包括静态行为特征和动态行为特征；

特征集更新模块，用于根据各所述行为层的行为特征集与对应的入侵行为特征集的匹配结果，对所述入侵行为特征集进行更新，所述入侵行为特征集为根据存在入侵威胁的样本程序的入侵行为特征得到；

检测模块，用于基于更新后的入侵行为特征集，对各所述行为层进行应用程序的入侵检测。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1-8中任意一项所述的应用程序的入侵检测方法。

Images