[发明专利]用于特定于行为的致动以实时白名单化的方法和系统

说明书

相关申请

本申请要求享受2015年5月11日提交的、标题为“Methods and Systems for Behavior-Specific Actuation for Real-Time Whitelisting”的美国临时专利申请No.62/159,433的优先权，故以引用方式将其全部内容明确地并入本文。

背景技术

蜂窝和无线通信技术在最近几年出现了爆炸性的增长。这种增长得益于更好的通信和硬件、更大的网络和更可靠的协议。结果，无线服务提供商现在能够向它们的用户提供针对信息、资源和通信的空前水平的访问。为了跟上这些增强，消费电子设备(例如，蜂窝电话、手表、耳机、远程控制等等)与过去相比变得更强大和更复杂，它们现在通常包括稳健的处理器、较大的存储器和其它资源，这允许在它们的设备上执行复杂的和稳健的软件应用。此外，这些设备还使它们的用户能够从应用下载服务(例如，应用商店、商店、play等等)或者互联网中下载和执行各种各样的软件应用。

由于这些和其它方面的提高，越来越多的移动和无线设备用户现在使用他们的设备来存储敏感信息(例如，信用卡信息、联系人等等)，和/或完成安全具有重要性的任务。例如，移动设备用户频繁地使用他们的设备来购买商品，发送和接收敏感通信，支付帐单，管理银行帐户和进行其它敏感交易。由于这些趋势，移动设备正在迅速成为恶意软件和网络攻击的下一个前沿。因此，用于更好地识别和响应资源受限的计算设备(例如，移动设备和无线设备)中的恶意软件和其它非良性设备行为的新的和改进的安全解决方案，对于消费者来说是有益的。

发明内容

各个实施例包括用于评估计算设备中的设备行为，并实现特定行为的白名单化的方法。各个实施例可以包括：监测在计算设备上操作的软件应用的活动；生成用于表征该软件应用的第一被监测活动的行为向量信息结构。可以向机器学习分类器模型应用该行为向量信息结构，以生成分析结果。可以使用分析结果，将该软件应用的第一被监测活动分类成良性的、可疑的、和非良性的中一种。响应于将该软件应用的第一被监测活动分类成可疑的或者非良性的，可以显示该分类以及用于请求用户选择是否对该软件应用进行白名单化的提示。可以接收到响应于该提示的用户输入，响应于接收到该用户输入，可以将第一被监测活动增加到白名单中。在一些实施例中，响应于接收到该用户输入，将第一被监测活动增加到白名单中，可以包括：与该软件应用相关联地，将第一被监测活动存储在白名单数据库中。

在一些实施例中，该方法还可以包括：使用多标签分类或者元分类技术，将第一被监测活动分类成一个或多个子类别。在一些实现中，该方法还可以包括：停止对添加到白名单的活动进行监测。

在一些实施例中，该方法还可以包括：继续监测所述软件应用的活动，至少部分地基于所监测的活动，生成第二行为向量信息结构。可以向第二机器学习分类器模型应用第二行为向量信息结构以生成另外的分析结果。可以使用该另外的分析结果将第二被监测活动分类成良性的、可疑的、和非良性的中的一种，判断是否将第二被监测活动子分类成与第一被监测活动相同的子类别。响应于确定没有将第二被监测活动子分类成与第一被监测活动相同的子类别，可以显示用于请求用户选择是否对所述软件应用进行白名单化的另外提示。在一些实施例中，该方法还可以包括：接收响应于显示所述另外提示的另外用户输入。在一些实施例中，响应于接收到所述另外用户输入，该方法可以包括：从白名单中删除第一被监测活动，终止所述软件应用和/或将第二被监测活动增加到白名单中。

此外，一些实施例还可以包括：确定第一被监测活动的相对重要性，其中，该相对重要性通过行为向量信息结构来表征。在一些实施例中，用于标识第一被监测活动的相对重要性的信息，可以包括在用于请求用户选择是否对所述软件应用进行白名单化的提示中。此外，一些实施例还可以包括：在用于监测和分析所述软件应用的活动的处理资源、存储器或能量资源、与所确定的第一被监测活动的相对重要性之间进行平衡。在一些实施例中，该平衡可以包括：至少部分地基于所确定的第一被监测活动的相对重要性，选择致动操作。在一些实施例中，选择所述致动操作可以包括：至少部分地基于行为的子分类，判断是执行稳健的分析操作还是执行轻量级分析操作。