[发明专利]用于基于系统调用的进程监视的空间和时间卷积网络

说明书

提供了利用计数向量来检测恶意进程的系统和方法。计数向量存储进程在可配置的时间间隔中执行的系统调用的数目和类型。计数向量被提供到时间卷积网络和空间卷积网络。时间卷积网络通过使计数向量经过识别进程的时间特征的时间过滤器来生成时间输出。空间卷积网络通过使计数向量经过识别进程的空间特征的空间过滤器来生成空间输出。时间输出和空间输出被合并成进程的概要表示。恶意软件检测系统使用概要表示来确定进程为恶意进程。

相关申请的交叉引用

本申请是2017年12月18日递交的美国专利申请15/845,199号的延续案并要求其优先权，这里通过引用将该美国专利申请完全并入。

技术领域

本公开概括而言涉及检测恶意软件，更具体而言涉及通过在卷积网络中处理表示系统调用的计数向量来检测恶意软件。

背景技术

传统恶意软件检测系统通过识别由进程生成的系统调用的踪迹，然后对照已知的良性或恶意进程比较这些踪迹来检测恶意进程。这种恶意软件检测系统通常在执行该进程的同一计算设备上运行。然而，这种恶意软件检测系统在数千个进程每秒生成数百万个系统调用的网络环境中将不会起作用。另外，过滤系统调用踪迹中的一些不是一个解决方案，因为恶意软件检测系统可利用过滤的系统调用踪迹来误分类恶意进程。

附图说明

图1是其中可实现恶意软件检测系统的示范性系统。

图2是根据一实施例的向量生成器的框图。

图3A是根据一实施例的计数向量的框图。

图3B是根据一实施例的将系统调用类型映射到计数向量中的元素的计数向量的框图。

图3C-3D是根据一实施例的将系统调用的序列映射到计数向量的计数向量的框图。

图4是根据一实施例的恶意软件检测系统的框图。

图5A是根据一实施例的时间卷积网络的框图。

图5B是根据一实施例的空间卷积网络的框图。

图6是根据一实施例的合并时间卷积网络的输出和空间卷积网络的输出的合并器的框图。

图7是根据一实施例的完全连接模块的框图。

图8是根据一实施例的用于识别恶意进程的方法的流程图。

图9是根据一实施例的适用于实现图1-图8中的一个或多个组件的计算机系统的框图。

通过参考接下来的详细描述最好地理解本公开的实施例及其优点。应当明白，相似的附图标记被用于标识一幅或多幅附图中图示的相似元素，其中的展示是为了图示本公开的实施例，而不是为了对其进行限制。

具体实施方式

下面记载的详细描述结合附图打算作为对各种配置的描述，而并不打算表示可实现本文描述的构思的唯一配置。详细描述包括用于提供对各种构思的透彻理解的具体细节。然而，本领域技术人员将清楚，没有这些具体细节也可实现这些构思。在一些情况中，以框图形式示出了公知的结构和组件以避免模糊这种构思。

系统和方法提供了使用被聚集成计数向量的进程踪迹来确定恶意进程的恶意软件检测系统。进程踪迹是由在计算设备或服务器上执行的进程生成的系统调用的踪迹。系统调用是进程对在计算设备上执行的操作系统作出的对系统资源的请求。示例系统资源可以是处理器时间、存储器访问、对文件系统的访问，等等。