[发明专利]过滤规则的生成方法、装置、及存储介质、电子装置

权利要求书

1.一种过滤规则的生成方法，其特征在于，所述方法包括：

在多种预设行为中选取部分行为，得到行为组合；

在软件行为数据库中，利用查询语句查询行为数据中包括所述行为组合中所有行为的软件样本，其中，所述软件行为数据库中包括多个软件样本的行为数据，每个所述软件样本的行为数据用于记录对应的软件样本在运行时产生的多个历史行为，且每个所述软件样本被预先标注有对应的安全等级；

判断查询到的软件样本的安全等级是否满足预设需求；

如果是，则将所述行为组合确定为过滤规则；

其中，所述行为组合是有序的，每个软件样本的行为数据记录的所述多个历史行为依照行为发生的时间顺序排列；

所述在软件行为数据库中，利用查询语句查询行为数据中包括所述行为组合中所有行为的软件样本，包括：

在所述软件行为数据库中，查询行为数据中包括所述行为组合中所有行为、且顺序与所述行为组合的顺序相同的软件样本；

在判断查询到的软件样本的安全等级是否满足预设需求之后，所述方法还包括：

如果否，则在所述多种预设行为中，选取所述部分行为之外的一个或多个行为，加入至所述行为组合中，得到更新的行为组合；

利用所述更新的行为组合重新在所述软件行为数据库中查询，以判断是否将所述更新的行为组合确定为所述过滤规则。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

利用预先在操作系统中注入的多个Hook点，监听在沙箱中运行的软件样本是否产生对应的行为，其中，每个所述Hook点用于监听对应的一种行为；

记录在所述沙箱中运行的软件样本针对所述多个Hook点对应的行为的调用情况，得到对应的软件样本的行为数据；

根据得到的软件样本的行为数据，生成或更新所述软件行为数据库。

3.根据权利要求2所述的方法，其特征在于，所述多种预设行为是与所述多个Hook点一一对应的行为。

4.根据权利要求2所述的方法，其特征在于，所述软件样本数据库按照预设周期更新，在将所述行为组合确定为过滤规则之后，所述方法还包括：

在所述软件样本数据库更新的情况下，在更新的软件样本数据库中查询行为数据中包括所述行为组合中所有行为的软件样本；

判断在所述更新的软件样本数据库中查询到的软件样本的安全等级是否满足预设需求；

如果否，则放弃所述过滤规则。

5.根据权利要求1所述的方法，其特征在于，所述在所述软件行为数据库中，查询行为数据中包括所述行为组合中所有行为、且顺序与所述行为组合的顺序相同的软件样本，包括：

根据所述行为组合生成查询语句；

利用所述查询语句，在所述软件行为数据库中执行查询操作。

6.一种过滤规则的生成装置，其特征在于，所述装置包括：

第一选取模块，用于在多种预设行为中选取部分行为，得到行为组合；

第一查询模块，用于在软件行为数据库中，利用查询语句查询行为数据中包括所述行为组合中所有行为的软件样本，其中，所述软件行为数据库中包括多个软件样本的行为数据，每个所述软件样本的行为数据用于记录对应的软件样本在运行时产生的多个历史行为，且每个所述软件样本被预先标注有对应的安全等级；

第一判断模块，用于判断查询到的软件样本的安全等级是否满足预设需求；

确定模块，用于如果是，则将所述行为组合确定为过滤规则；

其中，所述行为组合是有序的，每个软件样本的行为数据记录的所述多个历史行为依照行为发生的时间顺序排列，所述第一查询模块包括：

查询单元，用于在所述软件行为数据库中，查询行为数据中包括所述行为组合中所有行为、且顺序与所述行为组合的顺序相同的软件样本；

所述装置还包括：

第二选取模块，用于在判断查询到的软件样本的安全等级是否满足预设需求之后，如果否，则在所述多种预设行为中，选取所述部分行为之外的一个或多个行为，加入至所述行为组合中，得到更新的行为组合；

第二查询模块，用于利用所述更新的行为组合重新在所述软件行为数据库中查询，以判断是否将所述更新的行为组合确定为所述过滤规则。