[发明专利]进程行为识别方法及装置

权利要求书

1.一种进程行为识别方法，其特征在于，包括：

捕获应用程序在终端设备中的进程行为对应的调用栈特征；

检测所述调用栈特征对应的调用规则是否符合预设调用规则；

若符合，则确定所述进程行为为进程主动行为；

若不符合，则确定所述进程行为为进程被动行为。

2.根据权利要求1所述的方法，其特征在于，所述检测所述调用栈特征对应的调用规则是否符合预设调用规则，包括：

检测所述调用栈特征中是否存在特定系统功能函数；

若存在，则确定所述调用栈特征对应的调用规则符合预设调用规则；

若不存在，则确定所述调用栈特征对应的调用规则不符合预设调用规则。

3.根据权利要求2所述的方法，其特征在于，所述确定所述调用栈特征对应的调用规则符合预设调用规则之前，所述方法还包括：

检测所述调用栈特征中的特定系统功能函数的调用顺序是否符合预设调用顺序；

若不符合，则确定所述调用栈特征对应的调用规则不符合预设调用规则；

所述确定所述调用栈特征对应的调用规则符合预设调用规则，包括：

若符合，则确定所述调用栈特征对应的调用规则符合预设调用规则。

4.根据权利要求2所述的方法，其特征在于，所述确定所述调用栈特征对应的调用规则符合预设调用规则之前，所述方法还包括：

检测所述调用栈特征中的特定系统功能函数所在的栈位置是否符合预设栈位置；

若不符合，则确定所述调用栈特征对应的调用规则不符合预设调用规则；

所述确定所述调用栈特征对应的调用规则符合预设调用规则，包括：

若符合，则确定所述调用栈特征对应的调用规则符合预设调用规则。

5.根据权利要求1所述的方法，其特征在于，所述捕获应用程序在终端设备中的进程行为对应的调用栈特征之后，所述方法还包括：

将所述进程行为对应的调用栈特征输入到预设进程行为识别模型中进行匹配，以判断所述进程行为是否为进程主动行为，所述预设进程行为识别模型为利用预设机器学习算法对样本进程主动行为、样本进程被动行为及其分别对应的调用栈特征训练得到的；

若匹配结果为进程主动行为，则确定所述进程行为为进程主动行为；

若匹配结果为进程被动行为，则确定所述进程行为为进程被动行为。

6.根据权利要求5所述的方法，其特征在于，所述将所述进程行为对应的调用栈特征输入到预设进程行为识别模型中进行匹配，以判断所述进程行为是否为进程主动行为，包括：

将所述进程行为对应的调用栈特征输入到预设进程行为识别模型中进行匹配；

若所述进程行为对应的调用栈特征与所述样本进程主动行为对应的调用栈特征之间的相似度大于或者等于第一预设相似度阈值，则确定匹配结果为进程主动行为；

若所述进程行为对应的调用栈特征与所述样本进程被动行为对应的调用栈特征之间的相似度大于或者等于第二预设相似度阈值，则确定匹配结果为进程被动行为。

7.根据权利要求5所述的方法，其特征在于，所述确定所述进程行为为进程主动行为之前，所述方法还包括：

检测所述应用程序的签名是否符合预设签名；

若不符合预设签名，则确定所述进程行为为进程被动行为；

所述确定所述进程行为为进程主动行为，包括：

若符合预设签名，则确定所述进程行为为进程主动行为。

8.一种进程行为识别装置，其特征在于，包括：

捕获单元，用于捕获应用程序在终端设备中的进程行为对应的调用栈特征；

检测单元，用于检测所述调用栈特征对应的调用规则是否符合预设调用规则；

确定单元，用于若所述检测单元检测所述调用栈特征对应的调用规则符合预设调用规则，则确定所述进程行为为进程主动行为；

所述确定单元，还用于若所述检测单元检测所述调用栈特征对应的调用规则不符合预设调用规则，则确定所述进程行为为进程被动行为。