[发明专利]违规行为的识别方法及装置、存储介质、计算机设备

权利要求书

1.一种违规行为的识别方法，其特征在于，包括：

监控应用程序的行为；

根据所述应用程序的行为，获取系统日志中与所述应用程序的行为对应的I/O设备实际操作动作；

按照预设I/O设备标准操作动作列表，查找与所述应用程序的行为对应的I/O设备标准操作动作；

若所述I/O设备实际操作动作与所述I/O设备标准操作动作不一致，则将所述应用程序的行为记录为疑似违规行为。

2.根据权利要求1所述的方法，其特征在于，所述与所述应用程序的行为对应的I/O设备标准操作动作包括多种；

所述若所述I/O设备实际操作动作与所述I/O设备标准操作动作不一致，则将所述应用程序的行为记录为所述疑似违规行为，具体包括：

若所述I/O设备实际操作动作与每一种所述I/O设备标准操作动作都不一致，则将所述应用程序的行为记录为所述疑似违规行为。

3.根据权利要求1所述的方法，其特征在于，所述根据所述应用程序的行为，获取系统日志中与所述应用程序的行为对应的I/O设备实际操作动作之前，所述方法还包括：

获取所述应用程序的行为对应的操作主体进程；

按照预设主动操作进程集，判断所述操作主体进程是否在所述预设主动操作进程集中；

若所述操作主体进程在所述预设主动操作进程集中，则获取与所述应用程序的行为对应的I/O设备实际操作动作；

若所述操作主体进程不在所述预设主动操作进程集中，则将所述应用程序的行为记录为所述疑似违规行为。

4.根据权利要求3所述的方法，其特征在于，所述若所述操作主体进程不在所述预设主动操作进程集中，则将所述应用程序的行为记录为所述疑似违规行为，具体包括：

根据预设恶意进程集，判断所述应用程序的行为对应的操作主体进程是否属于所述预设恶意进程集中包括的恶意进程；

若所述操作主体进程属于所述恶意进程，则将所述应用程序的行为记录为所述疑似违规行为。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

若所述操作主体进程不属于所述恶意进程，则获取所述应用程序的进程对应的系统调用序列；

若所述系统调用序列与预设标准调用序列表中记录的所述应用程序的进程对应的标准调用序列不一致，则将所述应用程序的行为记录为所述疑似违规行为。

6.根据权利要求5所述的方法，其特征在于，若所述系统调用序列与预设标准调用序列表中记录的所述应用程序的进程对应的标准调用序列不一致，所述方法还包括：

将所述应用程序的进程加入所述预设恶意进程集中。

7.根据权利要求1至6中任一项所述的方法，其特征在于，所述按照预设I/O设备标准操作动作列表，查找与所述应用程序的行为对应的I/O设备标准操作动作之前，所述方法还包括：

获取所述应用程序的至少一次正常行为对应的系统日志；

解析所述至少一次正常行为对应的系统日志，并根据解析所得的合法行为对应的I/O设备操作动作建立所述预设I/O设备标准操作动作列表中。

8.一种违规行为的识别装置，其特征在于，包括：

监控模块，用于监控应用程序的行为；

实际操作动作获取模块，用于根据所述应用程序的行为，获取系统日志中与所述应用程序的行为对应的I/O设备实际操作动作；

标准操作动作获取模块，用于按照预设I/O设备标准操作动作列表，查找与所述应用程序的行为对应的I/O设备标准操作动作；

第一违规行为记录模块，用于若所述I/O设备实际操作动作与所述I/O设备标准操作动作不一致，则将所述应用程序的行为记录为所述疑似违规行为。

9.一种存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至7中任一项所述的违规行为的识别方法。

10.一种计算机设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至7中任一项所述的违规行为的识别方法。