[发明专利]使用硬件特征的对异常进程的无监督的检测

摘要

公开了设备、系统、装置、方法、产品、介质和其它实现，包括一种方法，其包括：得到关于执行与表示第一进程的正常行为的预先记录的硬件性能数据相关的第一进程的硬件设备的包括硬件性能计数器数据的当前硬件性能数据，以及基于相应于第一进程的所得到的当前硬件性能数据与表示第一进程的正常行为的预先记录的硬件性能数据的偏差的程度的确定，来确定恶意进程是否影响第一进程的性能。

主权项

1.一种用于使用硬件特征的对异常进程的无监督的检测的方法，所述方法包括：得到关于执行第一进程的硬件设备的当前硬件性能数据，所述当前硬件性能数据包括硬件性能时变计数器数据，所述第一进程与表示所述第一进程的正常行为的记录的硬件性能数据相关；至少基于与硬件性能数据相关的一个或多个特征的有效性程度，从所得到的当前硬件性能数据识别硬件性能数据组，当前硬件性能数据组包括每一个表示在潜在的异常进程的多个阶段中的一个处发生的多个事件的相应性能的相应的数据组，所述数据组中的每一个与微体系结构事件或体系结构事件之一相关联；聚集所识别的硬件性能数据组；基于一个或多个变换函数变换所聚集的硬件性能数据组；以及基于相应于所述第一进程的所变换的硬件性能数据组与表示所述第一进程的正常行为的所述记录的硬件性能数据的偏差的程度的确定，来确定所述潜在的异常进程是否影响所述第一进程的性能；其中，变换所聚集的硬件性能数据组包括：根据下式，从关于来自所述潜在的异常进程的所述多个阶段中的一个处发生的所述多个事件的事件i的硬件性能数据值raw_i导出关于所述事件i的标准化硬件性能值normalized_i：其中min_i和max_i是关于所述事件i的相应的最小值和最大值，且λ_i是关于所述事件i的幂参数，且关于λ_i的相应值被确定，使得相应于所述事件i的所变换的硬件性能时变数据的标准化分布具有放大关于来自所述潜在的异常进程的所述多个阶段中的一个处发生的所述多个事件的所述事件i的异常硬件性能数据与正常硬件性能数据的偏差的中位数值。