[发明专利]恶意进程检测方法、装置、系统及计算机可读存储介质

权利要求书

1.一种恶意进程检测方法，其特征在于，包括：

获取注册表操作日志，提取每个注册表操作日志中的进程名称、目标对象、设置值与恶意进程标识字段，并将进程名称、目标对象、设置值与恶意进程标识字段以二维矩阵形式进行存储，得到第一二维矩阵；

在所述第一二维矩阵中，将所述目标对象中的注册表路径进行节点分割，将分割后的每个节点内容作为列表项以将所述注册表路径转化为节点列表，删除所述目标对象，并将所述设置值合并入所述节点列表；

在所述节点列表中，将距离根节点项最近的预设数量个列表项按照键类型进行编号，并将相同进程名称的注册表操作日志进行数据归并，得到第二二维矩阵；

在所述第二二维矩阵中，将所述节点列表中未编号的列表项根据列表项的文本内容进行编号，得到样本二维矩阵；

将所述样本二维矩阵中的进程名称作为行索引、编号后的节点列表以及恶意进程标识字段作为列索引，输入至随机森林模型，得到恶意进程检测模型；

将待检测进程输入至所述恶意进程检测模型，以判断所述待检测进程是否为恶意进程。

2.根据权利要求1所述的恶意进程检测方法，其特征在于，所述在所述节点列表中，将距离根节点项最近的预设数量个列表项按照键类型进行编号，包括：

当根节点项为HKLM时，将根节点项编号为1、将子键项按子键类型编号，按根节点项编号、0、子键项编号的顺序生成三位序列，以替换所述根节点项以及子键项；

当根节点项为HKU时，将根节点项编号为2、将一级子键项按一级子键类型编号、将二级子键项按二级子键类型编号，按根节点项编号、一级子键项编号、二级子键项编号的顺序生成三位序列，以替换所述根节点项、一级子键项以及二级子键项；

当根节点项为HKCU时，将根节点项编号为3、将子键项按子键类型编号，并按根节点项编号、0、子键项编号的顺序生成三位序列，以替换所述根节点项以及子键项；

当根节点项为其它内容时，将根节点项编号为0。

3.根据权利要求1所述的恶意进程检测方法，其特征在于，所述将所述节点列表中未编号的列表项根据列表项的文本内容进行编号，包括：

将所述节点列表中的各列表项以空格为分隔符转换为字符串；

采用随机分割的方式将所述第二二维矩阵分为训练集二维矩阵以及测试集二维矩阵；

以所述训练集二维矩阵的字符数据作为词典，采用Tf-idf向量化算法将所述训练集二维矩阵以及测试集二维矩阵中的字符数据转化为稀疏矩阵，以得到样本二维矩阵。

4.根据权利要求1所述的恶意进程检测方法，其特征在于，所述获取注册表操作日志，提取每个注册表操作日志中的进程名称、目标对象、设置值与恶意进程标识字段，并将进程名称、目标对象、设置值与恶意进程标识字段以二维矩阵形式进行存储，得到第一二维矩阵，包括：

获取所述注册表操作日志，并对恶意进程与正常进程生成的注册表操作日志分别进行标注，得到恶意进程标识字段；

将采集到的每个注册表操作日志中的进程名称、目标对象、设置值与相应的恶意进程标识字段进行数据连接，并以二维矩阵的形式存储，删除完全重复的注册表操作日志，得到所述第一二维矩阵。