[发明专利]基于恶意软件相似性和在线信任度的对事件的全局聚类

摘要

在一个实施例中，提供了一种由计算设备的处理器执行的用于基于事件数据记录中的行为特征值和事件数据记录中的起源特征值来创建和存储事件数据记录的簇的方法，该方法包括：接收包括属性值集合的多个输入事件数据记录；标识具有特定行为特征值的两个或更多个第一事件数据记录；使用恶意事件行为数据表和多个比较操作来确定两个或多个第一事件数据记录中的任一者是否是恶意的，其中恶意事件行为数据表将行为特征值的集合映射到网络中的恶意行为的标识符，并且多个比较操作使用了恶意事件行为数据表和两个或更多个第一事件数据记录；以及如果是，则创建包括两个或更多个第一事件数据记录的相似性行为簇记录。

主权项

一种由计算设备的一个或多个处理器执行的数据处理方法，用于基于事件数据记录中的行为特征值和所述事件数据记录中的起源特征值来创建和存储所述事件数据记录的簇，所述方法包括：接收多个输入事件数据记录，所述输入事件数据记录包括基于已在一个或多个计算机网络中发生的多个事件确定的计算机网络属性值的集合；其中所述多个输入事件数据记录中的事件数据记录包括至少一个或多个行为特征值、严重性等级值、以及置信度分数值；标识两个或更多个第一事件数据记录，所述两个或更多个第一事件数据记录具有被存储在所述两个或更多个第一事件数据记录中的全部第一事件数据记录中的特定行为特征值；使用存储在数据存储设备中的恶意事件行为数据表和多个比较操作，来确定所述两个或更多个第一事件数据记录中的任一者是否已被标识为恶意的，其中所述恶意事件行为数据表将行为特征值的集合映射到所述一个或多个计算机网络中的恶意动作的标识符，并且所述多个比较操作使用了所述恶意事件行为数据表和所述两个或更多个第一事件数据记录；以及响应于确定来自所述两个或更多个第一事件数据记录的第一事件数据记录已被标识为恶意的：创建包括所述两个或更多个第一事件数据记录的相似性行为簇记录，并将所述相似性行为簇记录存储在计算机存储器中；通过将严重性等级值增加第一值来修改存储在所述两个或更多个第一事件数据记录中的每一者中的严重性等级值；以及通过将置信度分数值增加第二值来修改存储在所述两个或更多个第一事件数据记录中的每一者中的置信度分数值。