一种基于行为特征的终端恶意程序动态拦截方法和系统与流程

本技术属于计算机安全，具体涉及一种基于行为特征的终端恶意程序动态拦截方法和系统。

背景技术：

1、随着应用程序功能复杂度的持续提升以及高级逃逸技术的不断演进，终端安全面临日益严峻的挑战。传统的静态代码分析技术和基于预设特征码的动态行为检测技术已难以有效应对新型、复杂的威胁，业界逐渐将目光转向基于机器学习与动态行为建模的检测方法，旨在通过学习正常行为模式来发现未知异常，提升对零日攻击及变种恶意程序的识别能力。

2、中国专利cn122241698a提出《应用程序的行为检测方法、系统及电子设备》通过同时采集用户态的系统调用请求上下文与内核态的实际执行数据，实现对应用程序行为的全栈监控；随后，针对采集的系统调用数据，分别提取表征调用统计规律的基础统计特征（如调用频率、风险调用占比、参数取值分布）与表征调用间关联关系的深度序列特征（如频繁项集挖掘、序列熵值、参数关联度），构成系统调用特征集；进而，将系统调用特征集输入至基于正常行为特征库训练得到的行为检测模型中进行分析，输出判定结果、异常类型以及包含综合风险值的量化度量报告，以支持安全运营决策。

3、但是，现有技术仅基于单一的正常行为特征库训练得到的行为检测模型，基于正常行为特征库进行训练，缺乏对已知恶意行为模式的有监督学习，导致对已知威胁的检出精度有限，同时难以有效区分“罕见正常行为”与“真实异常行为”，误报率较高。现有技术仅能在单一进程内部进行系统调用序列分析和参数关联，对于涉及多个进程协同完成的复杂攻击行为（如合法程序被注入后派生恶意子进程、跨进程内存操作等），无法还原完整的攻击行为链，检测存在明显盲区。

技术实现思路

1、本技术提供一种基于行为特征的终端恶意程序动态拦截方法和系统，旨在解决现有技术误报率较高的问题。

2、第一方面，一种基于行为特征的终端恶意程序动态拦截方法，所述方法包括：

3、采集终端进程运行时的行为数据；所述行为数据通过部署于终端操作系统内核态与应用态之间系统调用层的轻量级探针截获的；

4、对采集的行为数据按预设的滑动时间窗口进行时序聚合，得到位于所述滑动时间窗口内的行为事件集合；依据进程标识符、会话标识符及线程标识符，将所述行为事件集合中的各行为事件分配至对应进程及线程的事件集合中；基于所述进程标识符，建立父子派生关联关系；按时间顺序将具有所述父子派生关联关系的进程对应的事件集合进行拼接，得到行为序列，以还原包含完整攻击路径；

5、从所述行为序列中提取多维度行为特征并构建特征向量；所述多维度特征均为基于已建立所述父子派生关联关系且按时间顺序排列的行为序列计算得到的窗口期统计值；

6、将所述特征向量输入到预先构建的第一随机森林异常判别模型中，输出分类概率；并将所述特征向量输入到预先构建的第二孤立森林异常判别模型中，输出异常分数；将所述分类概率和所述异常分数进行加权评分，得到融合评分；

7、将所述融合评分与基于预设规则生成的动态阈值进行比较，得到判断结果；若判定结果为恶意行为，则生成拦截动作规则。

8、上述方案中，可选地，从所述行为日志序列中提取多维度行为特征并构建特征向量后还包括：

9、在所述特征向量中，通过下列式子对同一维度的特征向量进行归一化：

10、

11、其中，为第 i个进程的第 j 维特征、为第  维特征的最小值、

12、为j 维特征最大值。

13、上述方案中，可选地，所述基于预设规则生成的动态阈值包括：

14、

15、其中，为过去  个时间窗口内最终评价分数均值；过去 n 个时间窗口内最终评价分数对应标准差；为灵敏度因子。

16、上述方案中，可选地，将所述分类概率和所述异常分数进行加权评分 ，得到融合评分包括：

17、

18、其中，为融合权重系数，为第一随机森林异常判别模型中输出分类概率；为第二孤立森林判别模型输出的异常分数。

19、上述方案中，可选地，所述第一随机森林异常判别模型和第二孤立森林异常判别模型构建包括：

20、构建行为样本集，所述行为样本集包括正样本和负样本；其中，所述正样本为来源于历史攻击事件及恶意程序行为数据提取的特征向量，所述正样本；所述负样本为来源于终端正常业务环境的长期行为基线数据提取的为正常的特征向量；

21、对所述行为样本集中的各特征向量进行信息增益评估，计算各维度特征的信息增益值，筛选信息增益值高于预设阈值的特征维度；

22、对筛选后的特征向量进行主成分分析降维，计算主成分投影矩阵，保留累计贡献率达到预设比例的主成分，得到降维后的训练样本集；

23、基于所述降维后的训练样本集中的正样本及负样本，分别训练第一随机森林异常判别模型和第二孤立森林异常判别模型。

24、上述方案中，进一步可选地，所述第一随机森林异常判别模型和第二孤立森林异常判别模型的构建还包括：

25、不断采集新的行为样本集；基于新的行为样本集对所述第一随机森林异常判别模型和第二孤立森林异常判别模型进行训练，以对所述第一随机森林异常判别模型和第二孤立森林异常判别模型进行调优。

26、上述方案中，可选地，若判定结果为恶意行为，则生成拦截动作具体包括：

27、调用预存储的维度偏离度基线库，计算所述特征向量中每一维特征相对于正常行为基线的偏离度：

28、根据所述融合评分的超限程度以及各维度偏离度，识别当前恶意行为的攻击类型并映射至对应的风险等级，执行分级拦截动作：

29、当仅单一维度的偏离度大于预设偏离度阈值，且偏离度大于所述预设偏离度阈值的所述单一维度不属于预设的破坏性行为维度集合时，判定为低风险，执行告警并记录日志；

30、当至少两个以上维度的偏离度同时大于所述预设偏离度阈值，且所述预设的破坏性行为维度集合中各维度的偏离度均不大于所述预设偏离度阈值时，判定为中风险，执行限制网络访问；

31、当所述预设的破坏性行为维度集合中至少一个维度的偏离度大于所述预设偏离度阈值，判定为高风险，执行强制终止进程；

32、当满足预设的横向传播维度组合条件或预设的特权提升维度条件时，判定为严重风险，执行隔离终端。

33、第二方面，一种基于行为特征的终端恶意程序动态拦截系统，所述系统包括：

34、行为数据采集模块：用于采集终端进程运行时的行为数据；所述行为数据通过部署于终端操作系统内核态与应用态之间系统调用层的轻量级探针截获的；

35、行为数据处理模块：用于对采集的行为数据按预设的滑动时间窗口进行时序聚合，得到位于所述滑动时间窗口内的行为事件集合；依据进程标识符、会话标识符及线程标识符，将所述行为事件集合中的各行为事件分配至对应进程及线程的事件集合中；基于所述进程标识符，建立父子派生关联关系；按时间顺序将具有所述父子派生关联关系的进程对应的事件集合进行拼接，得到行为序列，以还原包含完整攻击路径；

36、特征向量构建模块：用于从所述行为日志序列中提取多维度行为特征并构建特征向量；

37、融合评分计算模块：用于将所述特征向量输入到预先构建的第一随机森林异常判别模型中，输出分类概率；并将所述特征向量输入到预先构建的第二孤立森林异常判别模型中，输出异常分数；将所述分类概率和所述异常分数进行加权评分，得到融合评分；

38、拦截动作生成模块：用于将所述融合评分与基于预设规则生成的动态阈值进行比较，得到判断结果；若判定结果为恶意行为，则生成拦截动作。

39、第三方面，提供一种计算机设备，包括存储器、处理器及存储在存储器上的计算机程序，所述处理器执行所述计算机程序以实现权利要求上述第一方面所述基于行为特征的终端恶意程序动态拦截方法的步骤。

40、第四方面，提供一种计算机程序产品，包括计算机程序/指令，该计算机程序/指令被处理器执行时实现上述第一方面所述基于行为特征的终端恶意程序动态拦截方法的步骤。

41、相比现有技术，本技术至少具有以下有益效果：

42、本技术通过在内核态与应用态之间部署轻量级探针采集终端进程行为数据，并基于滑动时间窗口进行时序聚合，依据进程标识符、会话标识符及线程标识符将行为事件分配至对应进程及线程的事件集合中，基于进程标识符建立进程间的父子派生关联关系，将具有父子派生关联关系的进程对应的事件集合按时间顺序拼接为行为序列，从而还原包含跨进程派生及系统资源访问的完整攻击路径，解决了现有技术仅能在单一进程内分析、无法检测跨进程协同攻击的盲区问题；通过从行为序列中提取多维度行为特征并构建特征向量，将特征向量输入由第一随机森林异常判别模型和第二孤立森林异常判别模型中，将第一随机森林异常判别模型输出的分类概率和第二孤立森林异常判别模型输出的异常分数进行加权评分并按预设权重融合得到异常评分，实现了对已知威胁与未知异常的双重识别，克服单一模型泛化能力不足的问题；通过将异常评分与动态阈值进行比较，解决了固定阈值一刀切导致的误报或响应过度问题；由此，通过上述技术特征，提高了异常判定的准确性。