[发明专利]一种基于终端进程的互通网络异常检测方法

权利要求书

1.一种基于终端进程的互通网络异常检测方法，其特征在于，所述方法包括：

对终端进行进程检测和互通网络检测，得到多个检测结果；

将多个所述检测结果进行关联分析，以得到异常检测结果。

2.如权利要求1所述的方法，其特征在于，对终端进行进程检测和互通检测，包括：

通过决策树模型对终端进行进程检测，以确定终端是否存在伪装进程；

通过关联程度计算方式对终端进行进程检测，以确定终端是否存在异常进程；

通过建模对终端进行进程检测，以确定终端是否存在异常进程序列；

对终端进行通信日志检测以及相似异常进程终端检测，得到互通网络检测结果。

3.如权利要求2所述的方法，其特征在于，通过决策树对终端进行进程检测，以确定终端是否存在伪装进程之前，所述方法包括：

设计正负小样本集，所述正负小样本集包括：正样本、负样本向量；

通过所述正负小样本集训练初始决策树模型，得到所述决策树模型；

通过决策树对终端进行进程检测，以确定终端是否存在伪装进程包括：

读入待检测日志数据，通过所述决策树模型对所述待检测日志数据进行检测，以对终端进行进程检测，确定终端是否存在异常进程。

4.如权利要求2所述的方法，其特征在于，通过关联程度计算方式对终端进行进程检测，以确定终端是否存在异常进程，包括：

通过关联程度计算方式获取终端中进程的关联度，通过进程的关联度确定进程是否为异常进程。

5.如权利要求2所述的方法，其特征在于，通过建模对终端进行进程检测，以确定终端是否存在异常进程序列，包括：

获取终端中进程序列中进程的行为，对进行序列中进程行为进行建模，以确定所述终端是否存在异常进程序列。

6.如权利要求2所述的方法，其特征在于，将多个所述检测结果进行关联分析，以得到异常检测结果之前，所述方法还包括：

收集终端样本的动态行为数据，并对收集的数据进行数据预处理；

通过卷积神经网络对进行数据预处理后的数据进行异常检测，以确定终端中是否存在恶意样本。

7.如权利要求2所述的方法，其特征在于，将多个所述检测结果进行关联分析，以得到异常检测结果，包括：

将多个检测结果分别输入到检测模型中，通过所述检测模型分析多个检测结果的关联关系，根据所述关联关系确定异常检测结果。