[发明专利]一种用于应用程序的进程检测方法及系统

权利要求书

1.一种用于应用程序的进程检测方法，其特征在于，包括：

根据安全日志内容，获取进程对应的可观测行为向量；

将所述可观测行为向量转换为进程行为特征图；

基于训练好的卷积神经网络模型，对所述进程行为特征图进行检测，得到所述进程的检测结果；所述训练好的卷积神经网络模型是由标记有正常进程标签的样本进程行为特征图和标记有恶意进程标签的进程行为特征图训练得到的；

所述根据安全日志内容，获取进程对应的可观测行为向量，包括：

根据安全日志内容，获取进程的行为特征；

将所述进程的行为特征映射为对应的个体行为向量；

根据所述进程的父子进程关系，通过所述个体行为向量，获取所述进程的可观测行为向量；

所述将所述进程的行为特征映射为对应的个体行为向量，包括：

将进程的行为特征分为基本行为特征和扩展行为特征；

根据所述基本行为特征和扩展行为特征，获取所述进程的个体行为向量：

IBV_i＝p_i*p_i+s_i；

其中，IBV_i表示第i个进程的个体行为向量，p_i表示第i个进程中基本行为特征的数量，s_i表示第i个进程中扩展行为特征的数量，i＝1,…,m，m表示一个安全日志文件中包含的进程总数；

在所述将进程的行为特征分为基本行为特征和扩展行为特征之后，所述方法还包括：

通过逻辑运算符，对属于基本行为特征的进程行为进行逻辑运算，获取对应的二次联合行为特征，以根据所述二次联合行为特征和所述扩展行为特征得到个体行为向量；

所述根据所述进程的父子进程关系，通过所述个体行为向量，获取所述进程的可观测行为向量，包括：

根据所述进程的父子进程关系，通过所述个体行为向量，构建可观测行为向量公式，若所述进程中无子进程，则可观测行为向量公式为：

OBV_i＝IBV_i；

若所述进程中有子进程，则可观测行为向量公式为：

其中，OBV_i表示第i个进程的可观测行为向量，IBV_i表示第i个进程的个体行为向量，OBV_j表示第j个子进程的可观测行为向量，n_i表示第i个进程中包括n个子进程，表示异或运算符。

2.根据权利要求1所述的用于应用程序的进程检测方法，其特征在于，所述将所述可观测行为向量转换为进程行为特征图，包括：

将所述可观测行为向量转换为二维逻辑图像，得到进程行为特征图。