[发明专利]安全威胁的检测方法、装置、计算机设备和存储介质

权利要求书

1.一种安全威胁的检测方法，其特征在于，包括：

获取用户端在观测时间段内的进程信息，其中，所述进程信息包括所述用户端在所述观测时间段内运行的进程和各进程之间的调用关系；

在所述进程信息中识别长进程链，其中，所述长进程链包括多个具有调用关系的进程；

获取所述长进程链中的最后一个进程，以得到尾进程；

根据所述尾进程在安全实体知识图谱中的信息判断所述长进程链中是否包括安全威胁，

在所述进程信息中识别长进程链的步骤包括：

提取日志中的多个进程链，其中，所述进程链包括至少两个具有调用关系的进程，所述进程链的时间信息为所述进程链中第一个进程的时间戳或所述进程链中最后一个进程的时间戳；

将多个所述进程链中满足拼接条件的进程链进行拼接，以得到所述长进程链，其中，按照所述时间信息的先后关系对多个所述进程链排序后，若前一个所述进程链的后n个进程与后一个所述进程链中的前n个进程相同，则两个所述进程链满足拼接条件，其中，n=1，2，3，..N，N为自然数。

2.根据权利要求1所述的安全威胁的检测方法，其特征在于，

获取用户端在观测时间段内的进程信息的步骤包括：获取云查杀日志中所述用户端在所述观测时间段内的日志。

3.根据权利要求2所述的安全威胁的检测方法，其特征在于，将多个所述进程链中满足拼接条件的进程链进行拼接，以得到所述长进程链的步骤包括：

步骤S1：按照所述时间信息的先后关系对进程链池中的进程链进行排序，以得到进程链序列；

步骤S2：设置滑动时间窗的时长和滑动步长；

步骤S3：在所述进程链序列中获取当前所述滑动时间窗内的所述进程链，以得到进程链组；

步骤S4：在所述进程链组中，检查相邻的两个所述进程链是否满足所述拼接条件，其中，若相邻的两个所述进程链满足所述拼接条件，则执行步骤S5, 若相邻的两个所述进程链不满足所述拼接条件，则执行步骤S7；

步骤S5：将相邻的两个所述进程链拼接，得到拼接后的进程链，并将所述拼接后的进程链加入所述进程链组；

步骤S6：判断所述拼接后的进程链的长度是否大于或等于长进程链阈值，其中，若所述拼接后的进程链的长度大于或等于所述长进程链阈值，执行步骤S7，若所述拼接后的进程链的长度小于所述长进程链阈值，并返回步骤S4；

步骤S7：从所述进程链组选取所述长进程链，并以所述滑动步长滑动所述滑动时间窗后，返回至步骤S3。

4.根据权利要求3所述的安全威胁的检测方法，其特征在于，在所述步骤S7中，从所述进程链组选取所述长进程链包括：

去除所述进程链组中的冗余进程链，得到中间进程链组，其中，所述冗余进程链为所述进程链组中其他所述进程链的子链；以及

从所述中间进程链组中选取所述长进程链。

5.根据权利要求2所述的安全威胁的检测方法，其特征在于，N等于2。

6.根据权利要求1所述的安全威胁的检测方法，其特征在于，在分析所述长进程链，以判断所述长进程链中是否包括安全威胁的步骤之前，所述安全威胁的检测方法还包括：

统计在所述观测时间段内，所述用户端出现所述长进程链的次数，其中，当所述用户端出现所述长进程链的次数大于次数阈值时，执行分析所述长进程链，以判断所述长进程链中是否包括安全威胁的步骤；和/或

统计在所述观测时间段内，出现所述长进程链的用户端的个数，其中，当出现所述长进程链的用户端的个数大于个数阈值时，执行分析所述长进程链，以判断所述长进程链中是否包括安全威胁的步骤；和/或

根据历史时间内所述用户端出现的所述长进程链在所述观测时间段内出现的所述长进程链判断所述长进程链的变化趋势是否异常，其中，当所述长进程链的变化趋势异常时，执行分析所述长进程链，以判断所述长进程链中是否包括安全威胁的步骤。