[发明专利]一种恶意事件信息的获取方法、装置及电子设备

权利要求书

1.一种恶意事件信息的获取方法，其特征在于，包括：

提取终端中的行为数据；

根据所述行为数据构建事件异构图；其中，所述事件异构图中的边表示行为事件；

从所述事件异构图中提取恶意事件子图；

生成所述恶意事件子图对应的溯源信息。

2.根据权利要求1所述的恶意事件信息的获取方法，其特征在于，所述生成所述恶意事件子图对应的溯源信息，包括：

判断所述恶意事件子图是否为全连通图；

若是，则生成所述恶意事件子图对应的溯源信息。

若不是，则将所述恶意事件子图划分为对应的连通子图，并生成每个所述连通子图对应的溯源信息。

3.根据权利要求2所述的恶意事件信息的获取方法，其特征在于，所述将所述恶意事件子图划分为对应的连通子图，并生成每个所述连通子图对应的溯源信息，包括：

将所述恶意事件子图划分为不同的初始连通子图；

根据所述事件异构图，确定任意两个初始连通子图之间的最短路径；

判断各所述最短路径是否小于设定阈值；

若所述最短路径小于设定阈值，则利用小于设定阈值的最短路径，将小于设定阈值的最短路径对应的初始连通子图进行连接，以形成最终的连通子图；

若所述最短路径不小于设定阈值，则将不小于设定阈值的最短路径对应的初始连通子图分别作为最终的连通子图；

生成每个所述最终的连通子图对应的溯源信息。

4.根据权利要求1所述的恶意事件信息的获取方法，其特征在于，所述生成所述恶意事件子图对应的溯源信息，包括：

选择所述恶意事件子图中入度最小的顶点作为起始点，利用深度优先方式遍历所述恶意事件子图，并将遍历过程中获取得到的行为事件作为溯源信息。

5.根据权利要求1所述的恶意事件信息的获取方法，其特征在于，所述根据所述行为数据构建事件异构图，包括：

将所述行为数据按照行为发生时间，划分到对应时间段中；

根据每个时间段对应的行为数据，构建时间段事件异构图；

将各个时间段事件异构图组成事件异构图。

6.根据权利要求1所述的恶意事件信息的获取方法，其特征在于，所述提取终端中的行为数据，包括：

从第三方日志以及API日志中提取终端中的行为数据。

7.根据权利要求1至6任一项所述的恶意事件信息的获取方法，其特征在于，所述从所述事件异构图中提取恶意事件子图，包括：

根据元路径模板以及恶意事件，在所述事件异构图中提取恶意事件子图。

8.根据权利要求7所述的恶意事件信息的获取方法，其特征在于，所述根据元路径模板以及恶意事件，在所述事件异构图中提取恶意事件子图，包括：

利用辅助边添加规则，在所述事件异构图中添加与所述辅助边添加规则相对应的行为事件的边，形成最终的事件异构图；

根据元路径模板以及恶意事件，在所述最终的事件异构图中提取恶意事件子图。

9.一种恶意事件信息的获取装置，其特征在于，包括：

数据提取模块，用于提取终端中的行为数据；

异构图生成模块，用于根据所述行为数据构建事件异构图；其中，所述事件异构图中的边表示行为事件；

恶意事件子图提取模块，用于从所述事件异构图中提取恶意事件子图；

溯源信息生成模块，用于生成所述恶意事件子图对应的溯源信息。

10.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至8任一项所述的恶意事件信息的获取方法。

11.一种存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如上权利要求1至8任一项所述的恶意事件信息的获取方法。