[发明专利]应用软件恶意行为的动态告警方法和终端

说明书

本申请公开了一种应用软件恶意行为的动态告警方法和终端，涉及终端安全领域，用于动态调整针对应用软件恶意行为的告警。该方法包括：终端监控应用软件调用关键函数的行为；终端根据在预设时间内监控到应用软件调用关键函数的次数生成行为向量；终端基于机器学习算法，将行为向量输入恶意行为模型得到应用软件的结果向量；终端对威胁等级大于或等于告警阈值的恶意行为类型生成告警信息；终端提示告警信息；终端获取用户针对告警信息的第一反馈信息；终端根据第一反馈信息保持恶意行为类型对应的告警阈值；终端获取用户针对告警信息的第二反馈信息；终端根据第二反馈信息提高恶意行为类型对应的告警阈值。本申请实施例用于对恶意软件进行告警。

本申请要求于2017年11月10日提交中国专利局、申请号为201711101431.7、申请名称为“一种适应用户的移动设备恶意行为判别与告警方法”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本申请涉及终端安全领域，尤其涉及一种应用软件恶意行为的动态告警方法和终端。

背景技术

随着终端设备承载越来越多的用户隐私、财产等重要数据，恶意应用软件逐渐成为威胁终端安全的重要来源，针对应用软件的恶意行为分析技术也在不断发展。现有技术中，对于不同的用户采用相同的模型告警终端软件的恶意行为，但实际上存在许多应用软件的行为介于正常行为和恶意行为之间，不同的用户对于应用的这类行为有不同的判断标准，可能产生告警结果与用户感知不一致的情况。

发明内容

本申请实施例提供一种应用软件恶意行为的动态告警方法和终端，用于动态调整针对应用软件恶意行为的告警。

为达到上述目的，本申请的实施例采用如下技术方案：

第一方面，提供了一种应用软件恶意行为的动态告警方法，其特征在于，包括：终端监控运行的应用软件调用N个关键函数F₁、F₂、...、F_N的行为；终端根据在预设时间内监控到应用软件调用N个关键函数的次数生成N维行为向量A＝(A₁，A₂，.......，A_N)，其中，行为向量A＝(A₁，A₂，.......，A_N)的第i维A_i表示应用软件调用关键函数F_i的次数，1≤i≤N；终端基于机器学习算法，将行为向量A＝(A₁，A₂，.......，A_N)输入恶意行为模型得到应用软件的M维结果向量B＝(B₁，B₂，......，B_M)，M＜N，结果向量B＝(B₁，B₂，......，B_M)的每一维对应一种恶意行为类型及其威胁等级；终端对威胁等级大于或等于告警阈值的恶意行为类型生成告警信息，其中，每种恶意行为类型对应一个告警阈值；终端提示告警信息；终端获取用户针对告警信息的第一反馈信息，第一反馈信息为认可告警信息；终端根据第一反馈信息保持告警信息中的恶意行为类型对应的告警阈值；终端获取用户针对告警信息的第二反馈信息，第二反馈信息为不认可告警信息；终端根据第二反馈信息提高告警信息中的恶意行为类型对应的告警阈值。本申请实施例通过在终端设备中监控运行的应用软件调用N个关键函数F₁、F₂、...、F_N的行为，根据在预设时间内监控到该应用软件调用N个关键函数的次数生成N维行为向量A＝(A₁，A₂，.......，A_N)，其中，行为向量的第i维A_i表示应用软件调用关键函数F_i的次数，1≤i≤N；终端基于机器学习算法，将行为向量输入恶意行为模型得到应用软件的M维结果向量B＝(B₁，B₂，......，B_M)，M＜N，结果向量的每一维对应一种恶意行为类型及其威胁等级；终端对威胁等级大于或等于告警阈值的恶意行为类型生成告警信息，其中，每种恶意行为类型对应一个告警阈值；终端提示告警信息；终端获取用户针对告警信息的第一反馈信息，第一反馈信息为认可告警信息；终端根据第一反馈信息保持告警信息中的恶意行为类型对应的告警阈值；终端获取用户针对告警信息的第二反馈信息，第二反馈信息为不认可告警信息；终端根据第二反馈信息提高告警信息中的恶意行为类型对应的告警阈值。终端通过将应用软件调用关键函数的次数以行为向量进行数学表示，输入恶意行为模型后得到表示恶意行为类型及其威胁等级结果向量，再根据各个恶意行为类型的威胁等级和告警阈值来生成告警信息，然后根据用户对告警信息的反馈来调整告警阈值，以适应不同用户和终端，实现了动态调整针对应用软件恶意行为的告警。