[发明专利]违规软件识别方法

权利要求书

1.一种违规软件识别方法，其特征在于，所述方法包括：

获取软件黑白名单以及软件进程基准基线模型；

遍历主机运行的软件进程，识别所述主机运行的软件进程中与所述软件进程基准基线模型不匹配的软件进程，得到可疑进程；

确定所述可疑进程对应的软件；

根据所述软件黑白名单以及所述可疑进程对应的软件，识别主机中违规软件；

其中，所述软件进程基准基线模型由所述软件黑白名单中白名单软件的软件进程训练机器学习模型得到。

2.根据权利要求1所述的方法，其特征在于，还包括：

获取软件进程偏离基线模型；

识别所述主机运行的软件进程中与所述软件进程偏离基线模型匹配的软件进程，得到危险进程；

生成并推送与所述危险进程对应的告警消息；

其中，所述软件进程偏离基线模型由所述软件黑白名单中黑名单软件的软件进程训练机器学习模型得到。

3.根据权利要求2所述的方法，其特征在于，还包括：

获取软件黑白名单中各软件对应的软件进程，得到软件进程集合；

对所述软件进程集合中与白名单软件对应的软件进程添加可信标签，第一训练数据；对所述软件进程集合中与黑名单软件对应的软件进程添加危险标签，得到第二训练数据；

获取初始机器学习模型；

采用第一训练数据以及所述第二训练数据对所述初始机器学习模型进行训练，分别得到软件进程基准基线模型和软件进程偏离基线模型。

4.根据权利要求3所述的方法，其特征在于，所述初始机器学习模型包括线性分类机器学习模型。

5.根据权利要求1所述的方法，其特征在于，获取软件黑白名单包括：

获取组网各组网主机的预设软件黑白名单；

归集所述预设软件黑白名单并筛选去重，得到软件黑白名单。

6.根据权利要求1所述的方法，其特征在于，所述识别主机中违规软件之后，还包括：

定位运行所述违规软件的主机，得到目标主机；

获取所述目标主机的IP；

封堵所述目标主机的IP。

7.一种违规软件识别装置，其特征在于，所述装置包括：

数据获取模块，用于获取软件黑白名单以及软件进程基准基线模型；

可疑别模块，用于遍历主机运行的软件进程，识别所述主机运行的软件进程中与所述软件进程基准基线模型不匹配的软件进程，得到可疑进程；

软件确定模块，用于确定所述可疑进程对应的软件；

违规识别模块，用于根据所述软件黑白名单以及所述可疑进程对应的软件，识别主机中违规软件；

其中，所述软件进程基准基线模型由所述软件黑白名单中白名单软件的软件进程训练机器学习模型得到。

8.根据权利要求7所述的装置，其特征在于，还包括危险提示模块，用于获取软件进程偏离基线模型；识别所述主机运行的软件进程中与所述软件进程偏离基线模型匹配的软件进程，得到危险进程；生成并推送与所述危险进程对应的告警消息；其中，所述软件进程偏离基线模型由所述软件黑白名单中黑名单软件的软件进程训练机器学习模型得到。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。