[发明专利]一种用于恶意网络行为检测的方法和装置

权利要求书

1.一种用于恶意网络行为检测的方法，包括：

根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及

根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。

2.如权利要求1所述的方法，其中，还包括：

根据所述待检测的网络行为的行为特点，判定所述待检测的网络行为所属的行为种类；以及

从分别对应于不同的行为种类的多个行为识别模型中，选择与所判定的行为种类对应的行为识别模型，其中，所述多个行为识别模型的每一个包括所述多个行为类别各自的特征参数，

其中，所述计算进一步包括：根据所选择的行为识别模型所包括的所述多个行为类别各自的特征参数，计算所述待检测的行为与所述多个行为类别的每一个的相关程度值，得到所述多个相关程度值。

3.如权利要求2所述的方法，其中，还包括：

将作为所述训练样本的所述已知的恶意网络行为和正常网络行为划分为多个行为组，其中每一个行为组中的网络行为属于相同的行为种类；

利用聚类算法将所述多个行为组中的每一个行为组所包括的网络行为聚类为多个子行为组，每一个子行为组所包括的网络行为属于所述多个行为类别的其中一个；以及

利用多分类器训练算法分别对所述多个行为组中的每一个行为组所包括的各个子行为组中的网络行为进行训练，得到所述多个行为识别模型。

4.如权利要求3所述的方法，其中，

所述待检测的网络行为被确定所属的行为与所述待检测的网络行为实际所属的行为不相同，以及

所述方法还包括：

计算所述多个相关程度值中除了所述最大相关程度值之外的其它相关程度值的乘积；

检查所述最大相关程度值与所计算的乘积的比值是否大于指定阈值；以及

如果检查结果为肯定，则利用增量学习算法使用所述待检测的网络行为进行自学习训练，以更新所述多个行为识别模型。

5.如权利要求2所述的方法，其中，所述行为种类包括传播行为、远程控制行为、攻击行为。

6.一种用于恶意网络行为检测的装置，包括：

计算模块，用于根据多个行为类别各自的特征参数，计算待检测的网络行为与所述多个行为类别的每一个的相关程度值，得到多个相关程度值，其中，所述多个行为类别包括正常行为类别和至少一个恶意行为类别，所述多个行为类别各自的特征参数预先利用已知的恶意网络行为和正常网络行为作为训练样本训练得到；以及

确定模块，用于根据所述多个相关程度值中的最大相关程度值是所述待检测的网络行为与所述正常行为类别的相关程度值还是所述待检测的网络行为与所述至少一个恶意行为类别的其中之一的相关程度值，确定所述待检测的行为属于正常网络行为或恶意网络行为。

7.如权利要求6所述的装置，其中，还包括：

判定模块，用于根据所述待检测的网络行为的行为特点，判定所述待检测的网络行为所属的行为种类；以及

选择模块，用于从分别对应于不同的行为种类的多个行为识别模型中，选择与所判定的行为种类对应的行为识别模型，其中，所述多个行为识别模型的每一个包括所述多个行为类别各自的特征参数，

其中，所述计算模块进一步用于：根据所选择的行为识别模型所包括的所述多个行为类别各自的特征参数，计算所述待检测的行为与所述多个行为类别的每一个的相关程度值，得到所述多个相关程度值。