CN115696341A - 基于一致性与共识的有害事件的识别分析方法及其装置 - Google Patents

Abstract

本发明公开基于一致性与共识的有害事件的识别分析方法及其装置，基于一致性风险协议将平移不变性、正齐次性、单调性、此可见性构建算法模型进行静态识别，用数学理论强化的风险的判定规则，对风险识别的准确定有极高提升。事中动态共识安全风险评估采用动态的业务基线共识机制来对移动终端通信、网络行为进行持续评估，针对安全风险有针对性的持续评估，对安全威胁及时止损。事后的安全场景分析与共识协商，对安全威胁更有针对性，面对复杂多变的安全攻击场景，能精准识别攻击与渗透行为，丰富有害事件的识别手段。

Description

基于一致性与共识的有害事件的识别分析方法及其装置

技术领域

本发明涉及移动终端安全技术领域，尤其涉及基于一致性与共识的有害事件的识别分析方法及其装置。

背景技术

随着智能手机及其周边设备为代表的智能移动终端快速普及，远程办公与移动互联网在各行各业快速应用，移动智能终端逐步替代个人计算机成为用户连接互联网的主要终端设备，在给用户带来便利的同事，智能移动终端的有害安全事件也呈现上升趋势，带来了更多的信息安全风险。传统移动终端安全类识别技术主要依赖于移动终端病毒的杀毒软件，扫描本地文件系统与本地病毒库进行匹配来判定是否存在恶意程序，依赖于病毒库的完整度与特征检测技术。

5G时代的到来，促进了移动互联网的高速发展，移动互联网已经成为黑客入侵的新攻击面。移动终端安全识别机制与病毒库完整性参差不齐，有害事件识别效果具有局限性。恶意程序或恶意行为获得不具备相关安全知识的用户授权后使终端处于危险状态而难以发现，传统移动终端并未对用户不当操作而引发的有害安全事件进行识别和监测。

发明内容

本发明的目的在于提供基于一致性与共识的有害事件的识别分析方法及其装置，保护用户的移动上网安全，对访问连接行为持续进行信任评估，最小化漏洞被利用造成的危害范围，并及时识别和发现有害事件。

本发明采用的技术方案是：

基于一致性与共识的有害事件的识别分析方法及其装置，其包括事前识别部分、事中评估部分和事后分析部分；

前识别部分：

步骤1，对安装在系统或升级变更的应用程序进行获取其应用程序的指纹信息和家族标签；

步骤2，将指纹信息和家族标签与安全中心库进行匹配，判断是否匹配；是则，执行步骤 1；否则，执行步骤3；

步骤3，对未匹配的指纹信息和家族标签进行一致性风险协议识别；步骤3的具体步骤如下：

步骤3-1，个人信息安全根据ρ(α+r1)＝ρ(α)-r1来评估个人信息风险值r1；其中，α为个人信息处理参数；

步骤3-2，应用软件安全根据对于风险值r2>0的固有原则，以通过计算ρ(r2*β)＝r2* ρ(β)来评估软件安全风险值r2；其中，β为应用软件处理参数；

步骤3-3，风险态评估以单调性算子对风险系数判断是否满足单调特性；是则，判断当前检测目标不存在高危风险；否则，判断检测目标存在高危风险；

步骤3-4，以次可加算子对各算子风险值进行计算，判断是否满足ρ(α+β)≤ρ(α)+ρ(β)；是则，所有因子的风险值符合次可加性，检测目标的安全风险处于安全状态；否则，检测目标的安全风险处于高位风险状态；

事中评估部分：

步骤4，通过安全组件持续监测通信流量、访问资源、网络数据包头等，构建业务基线算法模型，

步骤5，捕获业务特征后采用DBSCAN算法获取各类业务因子，通过业务基线变异标准差函数R＝(ζ1+ζ2+……+ζn)计算风险值；ζ1为一个业务基线参数，ζ2为两个业务基线参数，ζn为n个业务基线参数；

步骤6，判断风险值是否偏移业务基线的标准期望；是则，进行风险分级告警并将异常行为生成为有害事件告知用户；

事后分析部分：

步骤7，通过安全组件持续监测操作系统，根据接入移动终端的日志进行事后监测，

步骤8，根据决策树算法(x,y)＝(x1,x2,x3```,xk,y)将所有监测事后事件分类并计算事后影响因子得出场景协商因子，其中，x为事件风险值，x1为第一个事件的风险值，x2为第二个事件的风险值，x3为第三个事件的风险值，xk为第k个事件的风险值，y为安全事件风险基线值；

步骤9，将场景协商因子与其他接入节点进行协商，采用PBFT算法与正态分布函数对各因子进行协商计算；

判断是否有3F+1个接入设备以上认定节点因子超出正态期望；是则，判断对应节点存在风险，针对事件进行标记风险与风险分级并将异常行为生成为有害事件告知用户；否则，不作处理；

步骤10，根据有害事件的判别将训练经验补充到应用特征库及动态基线库。

进一步地，步骤3-1中个人信息安全以平移不变算子针对个人信息的收集、存储、加工、转移、删除进行计算风险值r1。

进一步地，步骤3-2中应用软件安全以正齐次算子对通信功能调用、认证签名、组件访问控制、应用升级进行计算风险值r2。

具体地，根据r1≤r2则ρ(r1)≤ρ(r2)来判断是否满足单调特性。

进一步地，步骤5的业务因子包括上下行流量因子、IP/URL因子、访问时长因子、平均包长因子、应用协议因子、物理位置因子。

进一步地，步骤6中业务因子通过同类设备采用KNN算法与PBFT算法动态协商达成共识形成业务基线，通过KNN算法找到所有同类设备节点构建同类业务节点集群；接入移动设备通过监测标准业务基线进行动态协商，当3F+1以上设备共同协商认同的业务基线则为该设备类型的业务基线；其中，F为发起识别的业务节点数量。

进一步地，步骤7中监测操作系统的关键事件、关键系统权限、敏感数据、网络连接、外围接口通讯。

进一步地，步骤8中场景协商因子包括办公场景因子λ、娱乐场景因子μ、社交场景因子Ω,管理场景因子δ，

基于一致性与共识的有害事件的识别分析装置，采用了所述的基于一致性与共识的有害事件的识别分析方法，装置搭载有事前识别引擎、事中评估引擎和事后分析引擎，事前识别引擎用于静态应用特征库重训练，事前识别引擎包括一致性通信模组、静态匹配模组、第一多级算力模组；一致性通信模组用于一致性通信交互与安全隔离，静态匹配模组用于静态应用特征匹配与安全识别，第一多级算力模组用于事前识别引擎的L0-L3分级安全识别算力分配；

事中评估引擎包括风险矩阵模组、共识评估模组、事件捕获模组、第二多级算力模组；风险矩阵模组用于安全风险矩阵价值度评估，共识评估模组用于共识评估通信交互；事件捕获模组用于事件的捕捉，事件包括关键操作和网络；第二多级算力模组用于事中评估引擎的 L0-L3分级安全识别算力分配；

事后分析引擎包括场景分析模组、共识分析模组、事件关联模组、第三多级算力模组；场景分析模组用于移动安全终端场景分析，共识分析模用于共识分析通信交互，事件关联模组用于共识事件关联分析，第三多级算力模组用于事后分析引擎的L0-L3分级安全识别算力分配。

本发明采用以上技术方案，基于一致性和共识机制的分布式分析机制，可以实现对于移动终端的安全事件的有害性识别、事件源风险分析、有害事件分级分类等能力，通过分布式的识别与分析机制，根据访问行为事件的事前、事中、事后的安全风险诊断，并利用终端间的横向共识分析和安全中心库的纵向关联分析，来识别不限于恶意程序、漏洞、钓鱼等有害事件造成的风险，并对风险进行分析告警输出有效的有害事件。

附图说明

以下结合附图和具体实施方式对本发明做进一步详细说明；

图1为本发明基于一致性与共识的有害事件的识别分析方法流程示意图；

图2为本发明基于一致性与共识的有害事件的识别分析装置的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图对本申请实施例中的技术方案进行清楚、完整地描述。

如图1所示，本发明公开了基于一致性与共识的有害事件的识别分析方法及其装置，其包括事前识别部分、事中评估部分和事后分析部分；

前识别部分：

步骤1，对安装在系统或升级变更的应用程序进行获取其应用程序的指纹信息和家族标签；

步骤2，将指纹信息和家族标签与安全中心库进行匹配，判断是否匹配；是则，执行步骤 1；否则，执行步骤3；

步骤3，对未匹配的指纹信息和家族标签进行一致性风险协议识别；步骤3的具体步骤如下：

步骤3-1，个人信息安全根据ρ(α+r1)＝ρ(α)-r1来风险值r1；

步骤3-2，应用软件安全根据对于风险值r2>0的固有原则，以ρ(r2*β)＝r2*ρ(β)通过计算来风险值r2；

步骤3-3，风险态评估以单调性算子对风险系数判断是否满足单调特性；是则，判断当前检测目标不存在高危风险；否则，判断检测目标存在高危风险；

步骤3-4，以次可加算子对各算子风险值进行计算，判断是否满足ρ(α+β)≤ρ(α)+ρ(β)；是则，所有因子的风险值符合次可加性，检测目标的安全风险处于安全状态；否则，检测目标的安全风险处于高位风险状态；

事中评估部分：

步骤4，通过安全组件持续监测通信流量、访问资源、网络数据包头等，构建业务基线算法模型，

步骤5，捕获业务特征后采用DBSCAN算法获取各类业务因子，通过业务基线变异标准差函数R＝(ζ1+ζ2+……+ζn)计算风险值；ζ1为一个业务基线参数，ζ2为两个业务基线参数，ζn为n个业务基线参数；

步骤6，判断风险值是否偏移业务基线的标准期望；是则，进行风险分级告警并将异常行为生成为有害事件告知用户；

事后分析部分：

步骤7，通过安全组件持续监测操作系统，根据接入移动终端的日志进行事后监测，

步骤8，根据决策树算法(x,y)＝(x1,x2,x3```,xk,y)将所有监测事后事件分类并计算事后影响因子得出场景协商因子，

步骤9，将场景协商因子与其他接入节点进行协商，采用PBFT算法与正态分布函数对各因子进行协商计算；

判断是否有3F+1个接入设备以上认定节点因子超出正态期望；是则，判断对应节点存在风险，针对事件进行标记风险与风险分级并将异常行为生成为有害事件告知用户；否则，不做处理；

步骤10，根据有害事件的判别将训练经验补充到应用特征库及动态基线库。

进一步地，步骤3-1中个人信息安全以平移不变算子针对个人信息的收集、存储、加工、转移、删除进行计算风险值r1。

进一步地，步骤3-2中应用软件安全以正齐次算子对通信功能调用、认证签名、组件访问控制、应用升级进行计算风险值r2。

具体地，根据r1≤r2则ρ(r1)≤ρ(r2)来判断是否满足单调特性。

进一步地，步骤5的业务因子包括上下行流量因子、IP/URL因子、访问时长因子、平均包长因子、应用协议因子、物理位置因子。

进一步地，步骤6中业务因子通过同类设备采用KNN算法与PBFT算法动态协商达成共识形成业务基线，通过KNN算法找到所有同类设备节点构建同类业务节点集群；接入移动设备通过监测标准业务基线进行动态协商，当3F+1以上设备共同协商认同的业务基线则为该设备类型的业务基线；其中，F为发起识别的业务节点数量。

进一步地，步骤7中监测操作系统的关键事件、关键系统权限、敏感数据、网络连接、外围接口通讯。

进一步地，步骤8中场景协商因子包括办公场景因子λ、娱乐场景因子μ、社交场景因子Ω,管理场景因子δ，

如图2所示，基于一致性与共识的有害事件的识别分析装置，采用了所述的基于一致性与共识的有害事件的识别分析方法，装置搭载有事前识别引擎、事中评估引擎和事后分析引擎，事前识别引擎用于静态应用特征库重训练，事前识别引擎包括一致性通信模组、静态匹配模组、第一多级算力模组；一致性通信模组用于一致性通信交互与安全隔离，静态匹配模组用于静态应用特征匹配与安全识别，第一多级算力模组用于事前识别引擎的L0-L3分级安全识别算力分配；

事中评估引擎包括风险矩阵模组、共识评估模组、事件捕获模组、第二多级算力模组；风险矩阵模组用于安全风险矩阵价值度评估，共识评估模组用于共识评估通信交互；事件捕获模组用于事件的捕捉，事件包括关键操作和网络；第二多级算力模组用于事中评估引擎的 L0-L3分级安全识别算力分配；

事后分析引擎包括场景分析模组、共识分析模组、事件关联模组、第三多级算力模组；场景分析模组用于移动安全终端场景分析，共识分析模用于共识分析通信交互，事件关联模组用于共识事件关联分析，第三多级算力模组用于事后分析引擎的L0-L3分级安全识别算力分配。

算力分级嵌入所有步骤中，计算等级由L0-L3分级，L0计算应用指纹和应用家族簇，L1 基于L0之上计算静态一致性判别，L2基于L1之上计算事中动态共识，L3基于L2之上计算事后动态共识，L0-L3级别分布式计算越强，速度越快，可靠性越高，但对用户影响越大。

将资源利用率(CPU\RAM\ROM\网络IO)四个算法因子α、β、Ω、δ，构建分级函数L＝ρ(α+β+Ω+δ)得出L等级，即根据不同级别的资源利用率消耗情况，进行动态分级，中央核心节点(中心网关)根据接入设备计算等级情况进行计算任务动态调整，保证全网接入节点的算力资源动态平衡。

本发明采用以上技术方案，基于一致性风险协议将平移不变性、正齐次性、单调性、此可见性构建算法模型进行静态识别，用数学理论强化的风险的判定规则，对风险识别的准确定有极高提升。事中动态共识安全风险评估采用动态的业务基线共识机制来对移动终端通信、网络行为进行持续评估，针对安全风险有针对性的持续评估，对安全威胁及时止损。事后的安全场景分析与共识协商，对安全威胁更有针对性，面对复杂多变的安全攻击场景，能精准识别攻击与渗透行为，丰富有害事件的识别手段。本发明采用一致性风险协议，风险四类特性通过轻量化数学函数来进行静态分析，摆脱了传统IOC特征监测方式，实现静态检测动态分析。本发明采用动态共识协商方式针对集群的业务基线进行判定，避免业务基线行为单一导致基线模型准确度低，共识协商风险异常，有利于业务系统模型动态变化时产生的误报，降低了风险识别的误报率。本发明采用动态分级算力方式，平衡所有节点的算力资源，避免风险识别对生产业务的影响，高效的利用了计算网络资源。

显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

Claims (9)

1.基于一致性与共识的有害事件的识别分析方法，其特征在于：其包括事前识别部分、事中评估部分和事后分析部分；

前识别部分：

步骤1，对安装在系统或升级变更的应用程序进行获取其应用程序的指纹信息和家族标签；

步骤2，将指纹信息和家族标签与安全中心库进行匹配，判断是否匹配；是则，执行步骤1；否则，执行步骤3；

步骤3，对未匹配的指纹信息和家族标签进行一致性风险协议识别；步骤3的具体步骤如下：

步骤3-1，个人信息安全根据ρ(α+r1)＝ρ(α)-r1来评估个人信息风险值r1；其中，ρ为个人信息安全计算函数；其中，α为个人信息处理参数；

步骤3-2，应用软件安全根据对于风险值r2>0的固有原则，以ρ(r2*β)＝r2*ρ(β)计算评估应用软件风险值r2；其中，β为应用软件处理参数；

步骤3-3，风险态评估以单调性算子对风险系数判断是否满足单调特性；是则，判断当前检测目标不存在高危风险；否则，判断检测目标存在高危风险；

步骤3-4，以次可加算子对各算子风险值进行计算，判断是否满足ρ(α+β)≤ρ(α)+ρ(β)；是则，所有因子的风险值符合次可加性，检测目标的安全风险处于安全状态；否则，检测目标的安全风险处于高位风险状态；

事中评估部分：

步骤4，通过安全组件持续监测通信流量、访问资源、网络数据包头等，构建业务基线算法模型，

步骤5，捕获业务特征后采用DBSCAN算法获取各类业务因子，通过业务基线变异标准差函数R＝(ζ1+ζ2+……+ζn)计算风险值；ζ1为一个业务基线参数，ζ2为两个业务基线参数，ζn为n个业务基线参数；

步骤6，判断风险值是否偏移业务基线的标准期望；是则，进行风险分级告警并将异常行为生成为有害事件告知用户；否则，不做处理；

事后分析部分：

步骤7，通过安全组件持续监测操作系统，根据接入移动终端的日志进行事后监测，

步骤8，根据决策树算法(x,y)＝(x1,x2,x3```,xk,y)将所有监测事后事件分类并计算事后影响因子得出场景协商因子；其中，x为事件风险值，x1为第一个事件的风险值，x2为第二个事件的风险值，x3为第三个事件的风险值，xk为第k个事件的风险值，y为安全事件风险基线值；

步骤9，将场景协商因子与其他接入节点进行协商，采用PBFT算法与正态分布函数对各因子进行协商计算；

判断是否有3F+1个接入设备以上认定节点因子超出正态期望，其中，F为发起识别的业务节点数量；是则，判断对应节点存在风险，针对事件进行标记风险与风险分级并将异常行为生成为有害事件告知用户；否则，不做处理；

步骤10，根据有害事件的判别将训练经验补充到应用特征库及动态基线库。

2.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤3-1中个人信息安全以平移不变算子针对个人信息的收集、存储、加工、转移、删除进行计算个人信息风险值r1。

3.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤3-2中应用软件安全以正齐次算子对通信功能调用、认证签名、组件访问控制、应用升级进行计算应用软件风险值r2。

4.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤3-3中根据r1≤r2则ρ(r1)≤ρ(r2)来判断是否满足单调特性。

5.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤5的业务因子包括上下行流量因子、IP/URL因子、访问时长因子、平均包长因子、应用协议因子、物理位置因子。

6.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤6中业务因子通过同类设备采用KNN算法与PBFT算法动态协商达成共识形成业务基线，通过KNN算法找到所有同类设备节点构建同类业务节点集群；接入移动设备通过监测标准业务基线进行动态协商，当3F+1以上设备共同协商认同的业务基线则为该设备类型的业务基线，其中，F为发起识别的业务节点数量。

7.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤7中监测操作系统的关键事件、关键系统权限、敏感数据、网络连接、外围接口通讯。

8.根据权利要求1所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：步骤8中场景协商因子包括办公场景因子λ、娱乐场景因子μ、社交场景因子Ω,管理场景因子δ。

9.基于一致性与共识的有害事件的识别分析装置，采用了权利要求1至8任一项所述的基于一致性与共识的有害事件的识别分析方法，其特征在于：装置搭载有事前识别引擎、事中评估引擎和事后分析引擎，

事前识别引擎用于静态应用特征库重训练，事前识别引擎包括一致性通信模组、静态匹配模组、第一多级算力模组；一致性通信模组用于一致性通信交互与安全隔离，静态匹配模组用于静态应用特征匹配与安全识别，第一多级算力模组用于事前识别引擎的L0-L3分级安全识别算力分配；

事中评估引擎包括风险矩阵模组、共识评估模组、事件捕获模组、第二多级算力模组；风险矩阵模组用于安全风险矩阵价值度评估，共识评估模组用于共识评估通信交互；事件捕获模组用于事件的捕捉，事件包括关键操作和网络；第二多级算力模组用于事中评估引擎的L0-L3分级安全识别算力分配；

事后分析引擎包括场景分析模组、共识分析模组、事件关联模组、第三多级算力模组；场景分析模组用于移动安全终端场景分析，共识分析模用于共识分析通信交互，事件关联模组用于共识事件关联分析，第三多级算力模组用于事后分析引擎的L0-L3分级安全识别算力分配。

Images