[发明专利]软件恶意行为的建模及判断方法、装置和移动终端

权利要求书

1.一种软件恶意行为建模方法，其特征在于，包括以下步骤：

根据对移动终端中敏感资源的访问生成至少一个敏感动作；

根据所述移动终端中系统所处的持续状态生成至少一个上下文；以及

根据所述至少一个敏感动作中的一个或多个敏感动作和/或所述至少一个上下文中的一个上下文生成恶意行为模型。

2.如权利要求1所述的软件恶意行为建模方法，其特征在于，所述恶意行为模型中包括多个敏感动作，所述多个敏感动作之间具有执行顺序，如果行为同时包括所述多个敏感动作且具有相同的执行顺序，则所述恶意行为模型判断为恶意行为。

3.如权利要求1或2所述的软件恶意行为建模方法，其特征在于，所述恶意行为模型中的所述一个或多个敏感动作和/或所述上下文由所述移动终端的用户选择确定。

4.如权利要求1-3任一项所述的软件恶意行为建模方法，其特征在于，在所述恶意行为模型判断所述行为为恶意行为之后，还包括：

记录所述恶意行为的属性信息，并将所述属性信息展示给所述移动终端的用户。

5.如权利要求4所述的软件恶意行为建模方法，其特征在于，所述属性信息包括恶意行为中各个敏感动作的发生时间、各个敏感动作的动作类型、各个敏感动作执行者的身份标识和当前状态、两个敏感动作之间的时间间隔、及各个敏感动作所处的上下文中的一种或多种。

6.如权利要求5所述的软件恶意行为建模方法，其特征在于，所述敏感资源包括录音、设备号、GPS信息、付费短信。

7.如权利要求1所述的软件恶意行为建模方法，其特征在于，还包括：

将已建立的恶意行为模型显示给所述移动终端的用户，以供所述用户进行编辑、浏览或删除。

8.一种软件恶意行为建模装置，其特征在于，包括：

敏感动作生成模块，用于对移动终端中敏感资源的访问生成至少一个敏感动作；

上下文生成模块，用于根据所述移动终端中系统当前所处的持续状态生成至少一个上下文；以及

建模模块，用于根据所述至少一个敏感动作中的一个或多个敏感动作和/或所述至少一个上下文中的一个上下文生成恶意行为模型。

9.如权利要求8所述的软件恶意行为建模装置，其特征在于，所述恶意行为模型中包括多个敏感动作，所述多个敏感动作之间具有执行顺序，如果行为同时包括所述多个敏感动作且具有相同的执行顺序，则所述恶意行为模型判断为恶意行为。

10.如权利要求8所述的软件恶意行为建模装置，其特征在于，所述恶意行为模型中的所述一个或多个敏感动作和/或所述上下文由所述移动终端的用户选择确定。

11.如权利要求8所述的软件恶意行为建模装置，其特征在于，还包括：

属性信息记录模块，用于在判断所述行为为恶意行为之后，记录所述恶意行为的属性信息，并将所述属性信息展示给所述移动终端的用户。

12.如权利要求11所述的软件恶意行为建模装置，其特征在于，所述属性信息包括恶意行为中各个敏感动作的发生时间、各个敏感动作的动作类型、各个敏感动作执行者的身份标识和当前状态、两个敏感动作之间的时间间隔、及各个敏感动作所处的上下文中的一种或多种。

13.一种移动终端，其特征在于，包括：

如权利要求8-12任一项所述的软件恶意行为建模装置；

恶意模型编辑模块，用于将所述软件恶意行为建模装置已建立的恶意行为模型显示给所述移动终端的用户，以供所述用户进行编辑、浏览或删除。

14.一种软件恶意行为的判断方法，其特征在于，包括以下步骤：

采用如权利要求1-7任一项所述的软件恶意行为建模方法建立恶意行为模型；

记录移动终端中系统当前所处的持续状态，并生成当前上下文；

记录当前软件对所述移动终端中敏感资源的访问并生成相应的一个或多个敏感动作；以及

根据所述当前上下文和当前软件相应的一个或多个敏感动作，以及所述恶意行为模型判断所述当前软件对所述敏感资源的访问是否为恶意行为。