[发明专利]软件恶意行为检测方法及系统

权利要求书

1.一种软件恶意行为检测方法，其特征在于，应用于服务器，所述服务器与分布式终端通信连接，所述方法包括：

获取软件恶意行为检测数据，并根据所述软件恶意行为检测数据通过第一恶意行为匹配模板生成第一恶意行为匹配特征信息，其中，所述第一恶意行为匹配特征信息包括多个具有第一匹配进程片段的恶意行为源；

根据所述软件恶意行为检测数据通过第二恶意行为匹配模板生成第二恶意行为匹配特征信息，其中，所述第二恶意行为匹配特征信息包括与所述多个具有第一匹配进程片段的恶意行为源一一对应的多个具有第二匹配进程片段的恶意行为源，所述第二匹配进程片段先于所述第一匹配进程片段；

通过所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息生成第三恶意行为匹配特征信息，其中，所述第三恶意行为匹配特征信息包括多个具有目标匹配进程片段的恶意行为源，所述多个具有目标匹配进程片段的恶意行为源与所述第一恶意行为匹配特征信息或所述第二恶意行为匹配特征信息包括的多个恶意行为源一一对应。

2.根据权利要求1所述的软件恶意行为检测方法，其特征在于，所述通过所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息生成第三恶意行为匹配特征信息的步骤，包括：

建立所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间；

通过所述恶意行为融合空间和所述目标匹配进程片段确定所述第一恶意行为匹配特征信息的融合节点和所述第二恶意行为匹配特征信息的融合节点，所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息根据所述第一恶意行为匹配特征信息的融合节点和所述第二恶意行为匹配特征信息的融合节点进行运算生成所述第三恶意行为匹配特征信息。

3.根据权利要求2所述的软件恶意行为检测方法，其特征在于，所述建立所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间的步骤，包括：

通过所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的更新范围和更新时序信息预测所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间；或者

根据所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息确定出所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间。

4.根据权利要求3所述的软件恶意行为检测方法，其特征在于，所述根据所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息确定出所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间的步骤，包括：

获取所述第一恶意行为匹配特征信息和所述第二恶意行为匹配特征信息的关联恶意行为源；

通过所述关联恶意行为源预测出所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间。

5.根据权利要求4所述的软件恶意行为检测方法，其特征在于，所述通过所述关联恶意行为源预测出所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间的步骤，包括：

构建一个全局恶意行为源作为参考恶意行为源；

根据所述参考恶意行为源与所述关联恶意行为源预测出所述第一恶意行为匹配特征信息和/或所述第二恶意行为匹配特征信息的恶意行为融合空间。