公开(公告)号：CN110011990A

公开(公告)日：2019-07-12

申请号：CN201910219705.5

申请日：2019-03-22

Applicant: 南开大学

Inventor： 王志 ,  肖旭航 ,  谢学说 ,  李涛

IPC: H04L29/06 ,  G06F17/18

Abstract: 本发明提出了一种内网安全威胁智能分析方法，应用于网络安全领域。通过以下方式实现：第1、多模型不一致性得分的计算，包括：第1.1步、生成日志模板集；第1.2步、计算不一致性得分；第2、内网安全威胁智能分析方法，包括：第2.1步、计算P-Value；第2.2步、基于统计学习预测待测日志流。本发明利用人工智能分析而不是手工分析，实现对日志的分析；改变日志存储于本地的存储方式，转而采用区块链进行安全存储，并实现对内网不同设备产生的日志的合并使用；该方法支持多种日志解析模型，实现多模型协同；利用统计学习方法，提高了对异常日志的探测能力。

公开(公告)号：CN108629183A

公开(公告)日：2018-10-09

申请号：CN201810453922.6

申请日：2018-05-14

Applicant: 南开大学

Inventor： 王志 ,  邱克帆 ,  胡誉川 ,  高欢芝 ,  张倚铭 ,  程校

IPC: G06F21/56 ,  G06K9/62

Abstract: 本发明提出一种基于可信度区间的多模型恶意代码检测系统。每种机器学习检测模型都对应着底层数据的一种分布，各种基于阈值的检测模型都可以整合到本发明的统计平台上，实现从多角度观检测意代码数据的分布，缓解概念漂移带来的模型退化问题。本检测系统改变了现有机器学习检测模型的0或1的预测模式，基于现有的检测模型计算出的得分，进行统计分析，对样本的得分分布和样本的标签建立保序回归函数。对于未知样本，根据现有检测模型给出的得分，输入已计算出的保护回归函数，可以给出预测为某个标签的可信度概率区间，这个概率区间可以缓解固定阈值对训练数据集的过度拟合问题，提升检测模型对当前动态数据的适应能力，提前发现概念漂移现象。

公开(公告)号：CN103269341B

公开(公告)日：2016-02-17

申请号：CN201310167166.8

申请日：2013-05-08

Applicant: 腾讯科技(深圳)有限公司 ,  南开大学

Inventor： 王志 ,  贾春福 ,  邹赞 ,  张晓康 ,  刘敏

IPC: H04L29/06

CPC classification number: G06F21/566 ,  H04L63/1416

Abstract: 本发明实施例公开了间谍程序的分析方法和计算机系统，应用于通信技术领域。计算机系统会先捕获执行间谍程序的进程的执行轨迹；然后从执行轨迹中提取出回传数据包操作的子程序，该回传数据包操作是计算机系统执行间谍程序的进程时传输数据包给控制主机的操作；最后分析回传数据包操作的子程序中包括的调用接口的信息中各个组成部分的语义信息并输出。这样可以确定出计算机系统在调用间谍程序与控制主机通信过程中的回传的数据包的具体格式，从而发掘出间谍程序的通信协议，用户就可以根据得到的通信协议重写间谍程序的控制命令以控制间谍程序的执行，从而可以避免用户信息的泄露。

公开(公告)号：CN103905391A

公开(公告)日：2014-07-02

申请号：CN201210576206.X

申请日：2012-12-26

Applicant: 腾讯科技(深圳)有限公司 ,  南开大学

Inventor： 王志 ,  邹赞 ,  张晓康 ,  贾春福 ,  翁臣 ,  黄志鹏

IPC: H04L29/06

Abstract: 本发明的实施例公开了一种僵尸网络命令和控制协议的获取方法及装置，涉及信息技术领域，提升了僵尸网络命令和控制协议的获取效率，降低了获取僵尸网络命令和控制协议过程的成本。所述方法包括：首先获取僵尸网络程序执行过程中的执行轨迹信息，然后从所述执行轨迹信息中确定目标循环体，所述目标循环体为僵尸网络命令和控制协议所在的循环体，最后根据所述目标循环体获取僵尸网络命令和控制协议。