公开(公告)号：CN104850780A

公开(公告)日：2015-08-19

申请号：CN201510203698.1

申请日：2015-04-27

Applicant: 北京北信源软件股份有限公司

Inventor： 高曦 ,  杨华 ,  张宏宇

IPC: G06F21/55

Abstract: 本发明涉及一种高级持续性威胁攻击的判别方法，步骤如下：采集终端样本程序系统API调用序列；通过MapReduce模块提取其API调用短序列，然后计算短序列的信息增益，筛选出信息增益大的程序行为特征；再次扫描该系统API调用序列，得到终端样本程序的行为特征；统计机器学习模型模块使用每个样本程序的行为特征作为输入，对其进行训练，直至其对训练样本程序分类正确率达到90%以上时，确定模型参数，将其作为APT攻击判别器；采集目标终端程序的系统调用序列；对目标程序，采集其API调用序列、提取其行为特征后，便可判别其是否存在攻击行为。本发明对APT攻击的检测能力强，缩短程序行为特征的提取时间。

公开(公告)号：CN104794399A

公开(公告)日：2015-07-22

申请号：CN201510195036.4

申请日：2015-04-23

Applicant: 北京北信源软件股份有限公司

Inventor： 高曦 ,  杨华 ,  张宏宇

IPC: G06F21/56

Abstract: 本发明提供一种基于海量程序行为数据的终端防护系统和方法，其包含文件特征提取模块，用于建立知名的合法程序名单和攻击程序名单，为这些程序建立文件特征库；程序API调用采集模块，用于对应用程序的系统调用进行采集；程序行为序列分析模块，负责从API调用日志文件中提取出各个程序的API调用序列；判别模块，判断终端上启动的程序是否具有安全威胁。利用本发明的方法减少了需要进行API调用分析的程序数量，提高了处理效率；扩大了可分析的终端程序API调用序列的规模，不仅能捕捉单一程序的异常行为，而且能够发现程序集的整体行为特点，对用户处置程序异常行为报警提供重要的参考依据。

公开(公告)号：CN107122669B

公开(公告)日：2020-06-02

申请号：CN201710293233.9

申请日：2017-04-28

Applicant: 北京北信源软件股份有限公司

Inventor： 张宏宇 ,  胡建斌 ,  李鹏

IPC: G06F21/57

Abstract: 本发明公开了一种评估数据泄露风险的方法和装置，该评估数据泄露风险的方法包括：采集终端用户对敏感数据的正常操作行为；对正常操作行为进行概率分布评估，获得终端用户的行为模型；利用上述的行为模型对敏感数据的测试操作行为进行风险评估，确定测试操作行为的风险值。通过采集终端用户对敏感数据的正常操作行为，对终端用户访问敏感数据的时间、访问量、访问密度进行采集，特别是对第三方软件的截屏操作进行采集，利用终端用户的行为统计特征，计算得到数据泄露的风险值，以发现具有高风险的数据泄露行为。该方法具有较高的客观性和可解释性，从而能够有效防止使用第三方软件进行截屏操作盗取数据信息引起的数据泄露。

公开(公告)号：CN107122669A

公开(公告)日：2017-09-01

申请号：CN201710293233.9

申请日：2017-04-28

Applicant: 北京北信源软件股份有限公司

Inventor： 张宏宇 ,  胡建斌 ,  李鹏

IPC: G06F21/57

Abstract: 本发明公开了一种评估数据泄露风险的方法和装置，该评估数据泄露风险的方法包括：采集终端用户对敏感数据的正常操作行为；对正常操作行为进行概率分布评估，获得终端用户的行为模型；利用上述的行为模型对敏感数据的测试操作行为进行风险评估，确定测试操作行为的风险值。通过采集终端用户对敏感数据的正常操作行为，对终端用户访问敏感数据的时间、访问量、访问密度进行采集，特别是对第三方软件的截屏操作进行采集，利用终端用户的行为统计特征，计算得到数据泄露的风险值，以发现具有高风险的数据泄露行为。该方法具有较高的客观性和可解释性，从而能够有效防止使用第三方软件进行截屏操作盗取数据信息引起的数据泄露。