[发明专利]进程名单生成方法及装置、异常进程检测方法及装置

权利要求书

1.一种进程名单生成方法，其特征在于，包括：

获取各个主机上报的进程执行记录，其中，所述进程执行记录包括：执行时间点、主机标识、进程属性以及父进程属性；所述进程属性包括：进程路径和进程执行命令；所述父进程属性包括：父进程标识和父进程路径；

根据所述各个主机上报的进程执行记录以及预设的待分析条件，生成待分析的进程执行记录集合，其中，所述待分析条件包括：执行时间点位于第一预设时间段内，进程路径中包括第一内容，且父进程路径中未包括第二内容；

对所述进程执行记录集合中的进程执行记录按照主机标识以及父进程标识进行分组，得到各个分组；

针对每个分组，对所述分组内的各个进程执行记录按照进程执行命令之间的相似度进行聚类，得到各个簇；

根据各个簇中进程执行记录的执行时间点分布，生成进程名单。

2.根据权利要求1所述的方法，其特征在于，所述根据所述各个主机上报的进程执行记录以及预设的待分析条件，生成待分析的进程执行记录集合之前，还包括：

确定业务场景；

获取与所述业务场景对应的待分析条件，并将与所述业务场景对应的待分析条件确定为所述预设的待分析条件。

3.根据权利要求1所述的方法，其特征在于，所述针对每个分组，对所述分组内的各个进程执行记录按照进程执行命令之间的相似度进行聚类，得到各个簇，包括：

针对每个分组，计算所述分组中任意两个进程执行记录的进程执行命令之间的相似度；

将对应的相似度满足预设相似度阈值的进程执行记录聚类在一起，得到所述各个簇。

4.根据权利要求1所述的方法，其特征在于，所述根据各个簇中进程执行记录的执行时间点分布，生成进程名单，包括：

针对每个簇，确定所述簇中进程执行记录的执行时间点分布；

判断所述簇中进程执行记录的执行时间点分布是否满足预设分布条件；

在所述簇中进程执行记录的执行时间点分布满足预设分布条件时，将所述簇中的任意一个进程执行记录添加到白名单中；

在所述簇中进程执行记录的执行时间点分布不满足预设分布条件时，将所述簇中的任意一个进程执行记录添加到黑名单中。

5.根据权利要求4所述的方法，其特征在于，所述根据各个簇中进程执行记录的执行时间点分布，生成进程名单，还包括：

将所述白名单和所述黑名单推送给用户；

若在第二预设时间段内接收到用户提供的更新后白名单和更新后黑名单，将所述更新后白名单和更新后黑名单作为所述进程名单；

若在第二预设时间段内未接收到用户提供的更新后白名单和更新后黑名单，将所述白名单和所述黑名单作为所述进程名单。

6.根据权利要求1所述的方法，其特征在于，所述进程名单包括白名单和黑名单；

所述根据各个簇中进程执行记录的执行时间点分布，生成进程名单之后，还包括：

根据所述黑名单进行异常进程告警提示；

将所述白名单推送给规则引擎，以结合所述白名单进行异常进程检测。

7.根据权利要求1所述的方法，其特征在于，所述第一内容包括以下内容中的至少一种：BASH参数、SH参数、CMD参数、POWERSHELL参数；

所述第二内容包括：所述第一内容和SSH参数。