[发明专利]向量级检测规则生成方法、装置、电子设备及存储介质

权利要求书

1.一种向量级检测规则生成方法，其特征在于，包括：

监控客户端运行；

若监控到可疑行为，则结合当前场景信息，对所述可疑行为进行向量提取，并自动分析，生成检测规则；

客户端将所述检测规则发送至服务器端，服务器端对所述检测规则进行评估：

若所述检测规则通过评估，则通知客户端，客户端根据所述检测规则对可疑行为进行检测。

2.如权利要求1所述的方法，其特征在于，所述向量提取的内容包括：APT组织特定的字符串，IP地址和域名，静态分析及动态分析得到的行为信息、文件结构性信息。

3.如权利要求1所述的方法，其特征在于，所述服务器端还包含规则库，所述规则库用于存放客户端发送的检测规则；

服务器端对所述检测规则进行评估，具体为：若接收的所述检测规则存在于规则库中，则直接通知客户端；若接收的所述检测规则未存在于规则库中，则利用白名单样本库对所述检测规则进行测试，若测试通过，判定所述检测规则有效。

4.如权利要求3所述的方法，其特征在于，若接收的所述检测规则未存在于规则库中，且最终判定所述检测规则有效，则将所述检测规则记录到规则库中；

服务器端收集安全样本，不断更新所述白名单样本库。

5.一种向量级检测规则生成装置，其特征在于，包括服务器端和客户端，服务器端和客户端通过数据传输管理单元和数据传输单元建立数据连接关系；所述服务器端包括评估单元，所述客户端包括检测引擎、提取分析单元、检测规则生成单元、检测单元；

检测引擎：用于监控客户端运行；

提取分析单元：用于若监控到可疑行为，则结合当前场景信息，对所述可疑行为进行向量提取，并自动分析；

检测规则生成单元：用于生成检测规则；

检测单元：用于若所述检测规则通过评估，客户端根据所述检测规则对可疑行为进行检测；

评估单元：用于对客户端发送至服务器端的所述检测规则进行评估。

6.如权利要求5所述的装置，其特征在于，所述向量提取的内容包括：APT组织特定的字符串，IP地址和域名，静态分析及动态分析得到的行为信息、文件结构性信息。

7.如权利要求5所述的装置，其特征在于，所述服务器端还包含规则库，所述规则库用于存放客户端发送的检测规则；

服务器端对所述检测规则进行评估，具体为：若接收的所述检测规则存在于规则库中，则直接通知客户端；若接收的所述检测规则未存在于规则库中，则利用白名单样本库对所述检测规则进行测试，若测试通过，判定所述检测规则有效。

8.如权利要求7所述的装置，其特征在于，若接收的所述检测规则未存在于规则库中，且最终判定所述检测规则有效，则将所述检测规则记录到规则库中；

服务器端收集安全样本，不断更新所述白名单样本库。

9.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1至4任一项所述的向量级检测规则生成方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1至4中任一项所述的向量级检测规则生成方法。