[发明专利]安全威胁的检测方法、装置、计算机设备和存储介质

说明书

本发明提供了一种安全威胁的检测方法、装置、计算机设备和存储介质。该安全威胁的检测方法包括：获取用户端在观测时间段内的进程信息，其中，进程信息包括用户端在观测时间段内运行的进程和各进程之间的调用关系；在进程信息中识别长进程链，其中，长进程链包括多个具有调用关系的进程；以及分析长进程链，以判断长进程链中是否包括安全威胁。通过本发明，提升安全威胁的检测能力。

技术领域

本发明涉及数据处理技术领域，尤其涉及一种安全威胁的检测方法、装置、计算机设备和存储介质。

背景技术

在现有技术中，为了提升网络安全，当用户端出现安全级别未知的未知样本时，包括未知的计算机程序和未知的文档等，可上传到云端，由云端的病毒查杀引擎检查该未知样本的安全级别，并在云端留下查杀日志，该日志即为云查杀日志。病毒查杀引擎检查后，如果鉴定为安全的样本，则该未知样本属于白样本，如果鉴定为不安全的样本，则该未知样本属于黑样本。

发明人对现有技术研究发现，网络安全威胁常常利用白样本做伪装，比如白样本A调起白样本B，白样本B又调起白样本C，最后白样本C调起了黑样本D。而进一步研究现有技术中的安全防御机制发现，在常规技术手段中，出于对效率及用户体验的考虑，往往会忽略这种情况，对于这种情况，如果强行拦截，会有很高的误报率，严重影响用户体验，而如果不做拦截，则有很大可能漏过了可能的安全威胁。

因此，提供一种安全威胁的检测方法、装置、计算机设备和存储介质，以提升现有技术中安全威胁的检测能力，成为本领域亟需解决的技术问题。

发明内容

本发明的目的是提供一种安全威胁的检测方法、装置、计算机设备和存储介质，用于解决现有技术中的上述技术问题。

一方面，为实现上述目的，本发明提供了一种安全威胁的检测方法、装置、计算机设备和存储介质。

该安全威胁的检测方法包括：获取用户端在观测时间段内的进程信息，其中，进程信息包括用户端在观测时间段内运行的进程和各进程之间的调用关系；在进程信息中识别长进程链，其中，长进程链包括多个具有调用关系的进程；以及分析长进程链，以判断长进程链中是否包括安全威胁。

进一步地，获取用户端在观测时间段内的进程信息的步骤包括：获取云查杀日志中用户端在观测时间段内的日志；在进程信息中识别长进程链的步骤包括：提取日志中的多个进程链，其中，进程链包括至少两个具有调用关系的进程，进程链的时间信息为进程链中第一个进程的时间戳或进程链中最后一个进程的时间戳；将多个进程链中满足拼接条件的进程链进行拼接，以得到长进程链，其中，按照时间信息的先后关系对多个进程链排序后，若前一个进程链的后n个进程与后一个进程链中的前n个进程相同，则两个进程链满足拼接条件，其中，n＝1，2，3，..N，N为自然数。

进一步地，将多个进程链中满足拼接条件的进程链进行拼接，以得到长进程链的步骤包括：步骤S1：按照时间信息的先后关系对进程链池中的进程链进行排序，以得到进程链序列；步骤S2：设置滑动时间窗的时长和滑动步长；步骤S3：在进程链序列中获取当前滑动时间窗内的进程链，以得到进程链组；步骤S4：在进程链组中，检查相邻的两个进程链是否满足拼接条件，其中，若相邻的两个进程链满足拼接条件，则执行步骤S5,若相邻的两个进程链不满足拼接条件，则执行步骤S7；步骤S5：将两个进程链拼接，得到拼接后的进程链，并将拼接后的进程链加入进程链组；步骤S6：判断拼接后的进程链的长度是否大于或等于长进程链阈值，其中，若拼接后的进程链的长度大于或等于长进程链阈值，执行步骤S7，若拼接后的进程链的长度小于长进程链阈值，并返回步骤S4；步骤S7：从进程链组选取长进程链，并以滑动步长滑动滑动时间窗后，返回至步骤S3。

进一步地，在步骤S7中，从进程链组选取长进程链包括：去除进程链组中的冗余进程链，得到中间进程链组，其中，冗余进程链为进程链组中其他进程链的子链；以及从中间进程链组中选取长进程链。

进一步地，N等于2。