[发明专利]一种告警信息生成方法、装置、电子设备及存储介质

说明书

本发明公开了一种告警信息生成方法、装置、电子设备及存储介质，该方法包括：提取终端中的行为数据；根据行为数据构建事件异构图；事件异构图中的边表示行为事件；确定事件异构图中指定行为事件的异常值；将满足告警条件的异常值对应的指定行为事件作为告警信息；该方法利用异常值提高生成的告警信息的准确性和可靠性；且由于该方法通过异常值就可以直接提高告警信息的准确性，因此，可以避免相关技术中通过增加告警日志中的数据量来保证恶意事件检测率，所造成的告警日志数据量巨大，且恶意事件误报率高的情况，即，避免由于告警日志中行为事件数量过多而淹没真正的需要告警的恶意事件的情况。

技术领域

本发明涉及数据处理技术领域，特别涉及一种告警信息生成方法、装置、电子设备及存储介质。

背景技术

终端在使用的过程中会存在大量的行为事件。在这些行为事件中有些行为事件是符合用户的预期，有些行为事件则是在用户的预期之外执行的恶意事件。恶意事件的发生会对终端造成不同程度的危害，甚至能够破坏终端的可用性。因此，需要在终端中存在恶意事件时，提醒用户对终端进行防护。

目前提醒的方式是，采用指示器模型在观测到预定行为事件发生时，记录相关行为事件，并生成告警日志，通过该告警日志提醒用户对终端进行防护。但是，采用指示器模型生成的告警日志存在数据量巨大，且恶意事件误报率高的问题。

发明内容

本发明的目的是提供一种告警信息生成方法、装置、电子设备及存储介质，通过事件异构图来生成告警信息，进而提高生成的告警信息的准确性和可靠性，避免由于告警日志中日志信息数量过多而遗漏真正的恶意事件。

为解决上述技术问题，本发明提供一种告警信息生成方法，包括：

提取终端中的行为数据；

根据所述行为数据构建事件异构图；其中，所述事件异构图中的边表示行为事件；

确定所述事件异构图中指定行为事件的异常值；

将满足告警条件的异常值对应的指定行为事件作为告警信息。

可选地，所述根据所述行为数据构建事件异构图，包括：

将所述行为数据按照行为发生时间，划分到对应时间段中；

根据每个时间段对应的行为数据，构建时间段事件异构图；

将各个时间段事件异构图组成事件异构图。

可选地，所述指定行为事件为所述事件异构图中全部的行为事件；或者，所述指定行为事件为获取的初始告警信息对应的全部的行为事件。

可选地，所述将满足告警条件的异常值对应的指定行为事件作为告警信息，包括：

将所述异常值按照降序排列，并将前预设数量的异常值对应的指定行为事件作为告警信息。

可选地，所述确定所述事件异构图中指定行为事件的异常值，包括：

根据所述事件异构图，获取指定行为事件发生的概率值；

根据所述概率值，确定所述指定行为事件的异常值。

可选地，所述根据所述事件异构图，获取指定行为事件发生的概率值，包括：

根据所述事件异构图，获取指定行为事件的源顶点的活跃度、目的顶点的活跃度、以及所述指定行为事件在所述事件异构图中出现的第一频次；

获取所述指定行为事件对应的类似行为事件在所述事件异构图中出现的第二频次；其中，所述类似行为事件的源顶点与所述指定行为事件的源顶点的标签相同，所述类似行为事件的目的顶点与所述指定行为事件的目的顶点的标签相同；