一种终端进程行为分析方法、装置、设备及介质与流程

本技术涉及计算机，特别涉及一种终端进程行为分析方法、装置、设备及介质。

背景技术：

1、随着企业终端环境日益复杂，攻击者在主机侧实施攻击的方式不断演进。传统终端进程行为分析方式通常依赖静态签名、黑白名单、规则库匹配或单一行为事件统计。然而，当前攻击行为越来越多地采用无文件化执行、脚本解释器多级拉起、合法进程滥用、注册表持久化、远程下载执行等方式，单一日志或单个行为事件已难以准确反映完整攻击过程。同时，对于较长或较复杂的终端行为链路，现有分析方式通常依赖人工研判，存在分析效率低、结果一致性差、风险意图识别不充分等问题。因此，上述问题亟待本领域人员解决。

技术实现思路

1、本技术的目的是提供一种终端进程行为分析方法、装置、设备及介质，能够减少单一日志或单个行为事件分析的局限，使得到的目标分析结果能够更好地反映终端行为过程及其风险特征。

2、为解决上述问题，本技术提供一种终端进程行为分析方法，包括：

3、获取目标终端的行为事件数据；

4、对所述行为事件数据所表征的多个行为事件进行上下文关联和链路聚合，得到终端进程链树；其中，所述终端进程链树为由多个终端进程节点按照所述终端进程节点之间的父子调用关系连接形成的树形数据结构，每一所述终端进程节点对应于所述目标终端中的一个进程实例，所述行为事件根据行为归属关系挂接于对应的所述终端进程节点；

5、将所述终端进程链树输入至基于大模型的智能体分析模块，以使所述智能体分析模块根据预设分析目标确定与所述终端进程链树对应的目标分析策略，并按照所述目标分析策略对所述终端进程链树进行安全语义分析，得到所述目标终端的进程行为对应的目标分析结果；所述目标分析结果包括所述目标终端的进程行为是否存在安全风险的判定结果。

6、可选的，所述获取目标终端的行为事件数据，包括：

7、获取所述目标终端产生的原始行为数据；

8、对所述原始行为数据执行以下至少一种处理步骤：

9、针对所述原始行为数据，对预设时间内表征同一行为的重复数据记录进行去重处理；

10、对所述原始行为数据中来源于不同日志源的时间字段进行归一化处理，得到统一时间格式下的数据记录；

11、将所述原始行为数据中来源于不同数据源的数据字段映射为统一字段模型下的字段；

12、根据所述原始行为数据中的上下文信息，对所述原始行为数据中的缺失字段进行补全处理；

13、对所述原始行为数据中的异常数据记录进行异常过滤处理；

14、基于经过所述至少一种处理步骤处理后的数据，生成所述行为事件数据。

15、可选的，所述对所述行为事件数据所表征的多个行为事件进行上下文关联和链路聚合，得到终端进程链树，包括：

16、对所述多个行为事件进行上下文关联，得到上下文关联结果；

17、其中，所述上下文关联包括：按照所述行为事件数据中的事件时间，建立所述多个行为事件对应的行为时间线；基于所述行为事件数据中的进程标识，建立所述终端进程节点之间的父子调用关系；根据所述行为事件数据中的行为归属关系，将文件行为事件、网络行为事件和注册表行为事件中的一种或多种挂接至对应的所述终端进程节点，得到所述行为事件与所述终端进程节点之间的挂接关系；

18、基于所述上下文关联结果，识别第一预设时间窗口内连续触发且具有上下文关联关系的行为事件，形成关联行为片段，并对所述关联行为片段及其对应的所述终端进程节点进行行为链路聚合，得到行为链路聚合结果；

19、基于所述行为时间线、所述父子调用关系、所述挂接关系以及所述行为链路聚合结果，生成所述终端进程链树。

20、可选的，所述终端进程链树中还记录有挂接于所述终端进程节点的所述行为事件之间的时间关系，以及所述行为事件的行为标签。

21、可选的，对所述关联行为片段及其对应的所述终端进程节点进行行为链路聚合，包括：

22、基于预设关联规则和/或第二预设时间窗口，对所述关联行为片段及其对应的所述终端进程节点进行行为链路聚合，得到所述行为链路聚合结果；其中，所述预设关联规则用于判断所述关联行为片段及其对应的所述终端进程节点是否属于同一行为链路。

23、可选的，根据预设分析目标确定与所述终端进程链树对应的目标分析策略，并按照所述目标分析策略对所述终端进程链树进行安全语义分析，得到所述目标终端的进程行为对应的目标分析结果，包括：

24、根据所述预设分析目标对应的分析任务类型，确定所述智能体分析模块执行安全语义分析时采用的模型配置和推理深度；

25、根据所述终端进程链树的进程链长度，确定分析摘要详细程度；

26、若所述进程链长度满足预设超长链路条件，则将所述终端进程链树划分为多个链路片段，并基于所述模型配置、所述推理深度和所述分析摘要详细程度分别对所述多个链路片段进行安全语义分析，并对相应的片段分析结果进行汇总，得到所述目标分析结果；

27、若所述进程链长度不满足预设超长链路条件，则基于所述模型配置、所述推理深度和所述分析摘要详细程度对所述终端进程链树进行安全语义分析，得到所述目标分析结果。

28、可选的，所述终端进程行为分析方法，还包括：

29、若在安全语义分析过程中识别到所述多个链路片段中满足预设风险条件的链路片段，则生成补充提问内容，并基于所述补充提问内容对满足预设风险条件的链路片段进行二次安全语义分析；

30、根据相应的二次安全语义分析结果更新所述目标分析结果。

31、可选的，所述将所述终端进程链树输入至基于大模型的智能体分析模块，包括：

32、基于预设提示词模板，对所述终端进程链树和所述预设分析目标进行封装，得到模型输入信息；其中，所述预设提示词模板包括角色设定信息、任务约束信息、输出格式约束信息和推理引导信息中的一种或几种的组合；

33、将所述模型输入信息输入至基于大模型的智能体分析模块。

34、本技术还提供一种终端进程行为分析装置，包括：

35、数据获取模块，用于获取目标终端的行为事件数据；

36、进程链树构建模块，用于对所述行为事件数据所表征的多个行为事件进行上下文关联和链路聚合，得到终端进程链树；其中，所述终端进程链树为由多个终端进程节点按照所述终端进程节点之间的父子调用关系连接形成的树形数据结构，每一所述终端进程节点对应于所述目标终端中的一个进程实例，所述行为事件根据行为归属关系挂接于对应的所述终端进程节点；

37、进程链树分析模块，用于将所述终端进程链树输入至基于大模型的智能体分析模块，以使所述智能体分析模块根据预设分析目标确定与所述终端进程链树对应的目标分析策略，并按照所述目标分析策略对所述终端进程链树进行安全语义分析，得到所述目标终端的进程行为对应的目标分析结果；所述目标分析结果包括所述目标终端的进程行为是否存在安全风险的判定结果。

38、本技术还提供一种终端进程行为分析设备，包括：

39、存储器，用于存储计算机程序；

40、处理器，用于执行所述计算机程序时实现如上所述的终端进程行为分析方法的步骤。

41、本技术还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的终端进程行为分析方法的步骤。

42、本技术所提供的一种终端进程行为分析方法，包括：获取目标终端的行为事件数据；对所述行为事件数据所表征的多个行为事件进行上下文关联和链路聚合，得到终端进程链树；其中，所述终端进程链树为由多个终端进程节点按照所述终端进程节点之间的父子调用关系连接形成的树形数据结构，每一所述终端进程节点对应于所述目标终端中的一个进程实例，所述行为事件根据行为归属关系挂接于对应的所述终端进程节点；将所述终端进程链树输入至基于大模型的智能体分析模块，以使所述智能体分析模块根据预设分析目标确定与所述终端进程链树对应的目标分析策略，并按照所述目标分析策略对所述终端进程链树进行安全语义分析，得到所述目标终端的进程行为对应的目标分析结果；所述目标分析结果包括所述目标终端的进程行为是否存在安全风险的判定结果。

43、综上可见，本技术获取目标终端的行为事件数据，并对所述行为事件数据所表征的多个行为事件进行上下文关联和链路聚合，得到终端进程链树。所述终端进程链树由多个终端进程节点按照节点之间的父子调用关系连接形成，每一终端进程节点对应于目标终端中的一个进程实例，相关行为事件根据行为归属关系挂接于对应的终端进程节点。如此一来，能够将分散的行为事件按照进程实例及进程实例之间的父子调用关系进行组织，形成能够反映终端进程行为上下文和行为链路的树形数据结构。在此基础上，将终端进程链树输入基于大模型的智能体分析模块，由其根据预设分析目标确定目标分析策略，并按照目标分析策略进行安全语义分析。如此一来，能够基于包含上下文关联关系和链路聚合结果的终端进程链树进行分析，减少仅依据单一日志或单个行为事件进行分析所造成的局限，提高对终端进程行为及其安全风险进行分析和判定的准确性。

44、本技术还提供一种终端进程行为分析装置、终端进程行为分析设备以及计算机可读存储介质，具有以上有益效果，在此不做赘述。