用于使用针对增强型决策树桩的因果分析来识别和响应非良性行为的方法和系统技术方案

计算设备处理器可以被配置具有处理器可执行指令，以实现对于计算设备的非良性行为进行检测和响应的方法。处理器可以被配置为：监测设备行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用该行为向量信息结构以生成分析结果；使用分析结果对设备的行为进行分类；使用分析结果来确定由对于该行为的分类贡献最大的分类器模型评估的特征；以及选择对于该行为的分类贡献最大的最高“n”(例如，3)个特征。计算设备可以在计算设备的电子显示器上显示所选择的特征。

【技术实现步骤摘要】
【国外来华专利技术】用于使用针对增强型决策树桩的因果分析来识别和响应非良性行为的方法和系统
技术介绍
已经在最近几年看到了蜂窝和无线通信技术的爆炸性的增长。无线服务提供商现在提供各种各样的功能和服务，这些功能和服务向它们的用户提供对信息、资源和通信的空前水平的访问。为了跟上这些增强，个人和消费电子设备(例如，蜂窝电话、手表、耳机、远程控制等等)与过去相比已经变得更强大和更复杂，它们现在通常包括强大的处理器、较大的存储器和其它资源，这允许在它们的设备上执行复杂的和强大的软件应用。由于这些和其它方面的提高，个人和消费电子设备在现代生活中变得无处不在，并对于它们的用户所生成的信息或者与它们的用户有关的信息，拥有前所未有的获取水平。此外，人们频繁地使用他们的设备来存储敏感信息(例如，信用卡信息、联系人等等)，和/或完成安全具有重要性的任务。例如，移动设备用户频繁地使用他们的设备来购买商品，发送和接收敏感通信，支付帐单，管理银行帐户和进行其它敏感交易。由于这些趋势，个人和消费电子设备正在迅速成为恶意软件和网络攻击的下一个前沿。因此，更好地保护诸如移动设备和无线设备的资源受限的计算设备的新的和改进的安全解决方案，对于消费者来说将是有益的。
技术实现思路
各个方面包括识别、分类、防止和/或纠正指示异常或者引起非良性行为的状况和行为，以及向该计算设备的用户通知关于这些行为或异常的最重要贡献者或者来源的方法，该方法监测计算设备的行为以收集行为信息，该方法可以包括：基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用该行为向量信息结构以生成分析结果；使用分析结果对该计算设备的行为进行分类；使用分析结果来确定由对于所述行为的分类贡献最大的所述分类器模型来评估的特征；选择对于所述行为的分类贡献最大的特征；以及在该计算设备的电子显示器上显示所选择的特征。在一方面，使用分析结果对计算设备的行为进行分类，可以包括：使用分析结果将行为分类为异常。在另外的方面，使用分析结果对计算设备的行为进行分类，可以包括：使用分析结果将行为分类为非良性的；使用分析结果来确定由对于行为的分类贡献最大的分类器模型来评估的特征，可以包括：使用分析结果来确定由对于将行为分类为非良性贡献最大的分类器模型来评估的特征；以及选择对于行为的分类贡献最大的特征，可以包括：选择对于将行为分类为非良性贡献最大的特征。在另外的方面，基于所收集的行为信息来生成行为向量信息结构，可以包括：生成表征软件应用的活动的行为向量。在另外的方面，该方法可以包括：确定对于行为的分类贡献最大的特征的相对重要性。在还另外的方面，该方法可以包括：基于对于行为的分类贡献最大的特征，在用于识别、分析或者响应行为的计算设备的处理、存储器和能量资源的量之间平衡权衡。在另外的方面，向分类器模型应用行为向量信息结构以生成分析结果，可以包括：选择一系列稳健的分类器模型；以及向所选择的一系列稳健的分类器模型应用多个行为向量，以生成分析结果。在另外的方面，该方法可以包括：接收包括有限状态机的完整分类器模型，有限状态机包括适合于表示为多个增强型决策树桩的信息，每个增强型决策树桩包括测试条件、第一权重值和第二权重值；通过将完整分类器模型中包括的有限状态机转换成多个增强型决策树桩，生成增强型决策树桩列表；以及基于增强型决策树桩列表中包括的增强型决策树桩，在计算设备中生成精简分类器模型，其中，向分类器模型应用行为向量信息结构以生成分析结果，包括：向所生成的精简分类器模型应用行为向量信息结构。在另外的方面，向所生成的精简分类器模型应用行为向量信息结构，可以包括：向所生成的精简分类器模型中的增强型决策树桩中的每一个增强型决策树桩，应用行为向量信息结构中包括的所收集的行为信息；使用增强型决策树桩的第一权重值，来计算向所生成的精简分类器模型中的增强型决策树桩中的每一个增强型决策树桩应用所收集的行为信息的结果的第一加权平均；以及将第一加权平均与门限值进行比较，以确定行为是否是良性的。在另外的方面，选择对于行为的分类贡献最大的特征，包括：使用增强型决策树桩的第二权重值，来确定对于将行为分类为良性贡献最大的特征。另外的方面包括具有处理器的计算设备，该处理器被配置具有处理器可执行的指令以执行操作，该操作包括：监测设备行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用行为向量信息结构以生成分析结果；使用分析结果对该计算设备的行为进行分类；使用分析结果来确定由对于行为的分类贡献最大的分类器模型来评估的特征；选择对于行为的分类贡献最大的特征；以及在该计算设备的电子显示器上显示所选择的特征。在一方面，处理器可以被配置具有处理器可执行的指令以执行操作，使得使用分析结果对计算设备的行为进行分类，包括：使用分析结果将行为分类为异常。在另外的方面，处理器可以被配置具有处理器可执行指令以执行操作，使得：使用分析结果对计算设备的行为进行分类，包括：使用分析结果将行为分类为非良性的；使用分析结果来确定由对于行为的分类贡献最大的分类器模型来评估的特征，包括：使用分析结果来确定由对于将行为分类为非良性贡献最大的分类器模型来评估的特征；以及选择对于行为的分类贡献最大的特征，包括：选择对于将行为分类为非良性贡献最大的特征。在另外的方面，处理器可以被配置具有处理器可执行指令以执行操作，该操作还包括：确定对于行为的分类贡献最大的特征的相对重要性。在另外的方面，处理器可以被配置具有处理器可执行指令以执行操作，该操作还包括：基于对于行为的分类贡献最大的特征，在用于识别、分析或者响应行为的计算设备的处理、存储器和能量资源的量之间平衡权衡。在另外的方面，处理器可以被配置具有处理器可执行指令以执行操作，该操作还包括：接收包括有限状态机的完整分类器模型，该有限状态机包括适合于表示为多个增强型决策树桩的信息，每一个增强型决策树桩包括测试条件、第一权重值和第二权重值；通过将完整分类器模型中包括的有限状态机转换成多个增强型决策树桩，生成增强型决策树桩列表；以及基于增强型决策树桩列表中包括的增强型决策树桩，在计算设备中生成精简分类器模型，以及处理器可以被配置具有处理器可执行指令以执行操作，使得向分类器模型应用行为向量信息结构以生成分析结果，包括：向所生成的精简分类器模型中的增强型决策树桩中的每一个增强型决策树桩应用行为向量信息结构中包括的所收集的行为信息；使用增强型决策树桩的第一权重值，来计算向所生成的精简分类器模型中的增强型决策树桩中的每一个增强型决策树桩应用所收集的行为信息的结果的第一加权平均；以及将第一加权平均与门限值进行比较，以确定行为是否是良性的。在另外的方面，处理器可以被配置具有处理器可执行指令以执行操作，使得选择对于行为的分类贡献最大的特征，包括：使用增强型决策树桩的第二权重值，来确定对于将行为分类为良性贡献最大的特征。另外的方面包括一种其上存储有处理器可执行软件指令的非临时性计算机可读存储介质，该处理器可执行软件指令被配置为使计算设备的处理器执行操作，该操作包括：监测设备行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用行为向量信息结构以生成分析结果；使用分析结果对该计算设备的行为进行分类；使用分析结果来确定由对于行为的本文档来自技高网...

【技术保护点】
一种方法，包括：监测计算设备的行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用所述行为向量信息结构以生成分析结果；使用所述分析结果对所述计算设备的行为进行分类；使用所述分析结果来确定由对于所述行为的分类贡献最大的所述分类器模型评估的特征；选择对于所述行为的所述分类贡献最大的所述特征；以及在所述计算设备的电子显示器上显示所选则的特征。

【技术特征摘要】
【国外来华专利技术】2015.05.07 US 14/706,0991.一种方法，包括：监测计算设备的行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用所述行为向量信息结构以生成分析结果；使用所述分析结果对所述计算设备的行为进行分类；使用所述分析结果来确定由对于所述行为的分类贡献最大的所述分类器模型评估的特征；选择对于所述行为的所述分类贡献最大的所述特征；以及在所述计算设备的电子显示器上显示所选则的特征。2.根据权利要求1所述的方法，其中，使用所述分析结果对所述计算设备的所述行为进行分类包括：使用所述分析结果将所述行为分类为异常。3.根据权利要求1所述的方法，其中：使用所述分析结果对所述计算设备的所述行为进行分类包括：使用所述分析结果将所述行为分类为非良性的；使用所述分析结果来确定由对于所述行为的所述分类贡献最大的所述分类器模型评估的所述特征，包括：使用所述分析结果来确定由对于将所述行为分类为非良性贡献最大的所述分类器模型评估的所述特征；以及选择对于所述行为的所述分类贡献最大的所述特征包括：选择对于将所述行为分类为非良性贡献最大的所述特征。4.根据权利要求1所述的方法，其中，基于所收集的行为信息来生成所述行为向量信息结构包括：生成表征软件应用的活动的行为向量。5.根据权利要求1所述的方法，还包括：确定对于所述行为的所述分类贡献最大的所述特征的相对重要性。6.根据权利要求1所述的方法，还包括：基于对于所述行为的所述分类贡献最大的所述特征，在用于识别、分析或者响应所述行为的计算设备处理、存储器和能量资源的量之间平衡权衡。7.根据权利要求1所述的方法，其中，向所述分类器模型应用所述行为向量信息结构以生成所述分析结果，包括：选择一系列稳健的分类器模型；以及向所选择的一系列稳健分类器模型应用多个行为向量，以生成所述分析结果。8.根据权利要求1所述的方法，还包括：接收包括有限状态机的完整分类器模型，所述有限状态机包括适合于表示为多个增强型决策树桩的信息，每一个增强型决策树桩包括测试条件、第一权重值和第二权重值；通过将所述完整分类器模型中包括的所述有限状态机转换成所述多个增强型决策树桩，生成增强型决策树桩列表；以及基于所述增强型决策树桩列表中包括的增强型决策树桩，在所述计算设备中生成精简分类器模型，其中，向所述分类器模型应用所述行为向量信息结构以生成所述分析结果包括：向所生成的精简分类器模型应用所述行为向量信息结构。9.根据权利要求8所述的方法，其中，向所生成的精简分类器模型应用所述行为向量信息结构，包括：向所生成的精简分类器模型中的所述增强型决策树桩中的每一个增强型决策树桩，应用所述行为向量信息结构中包括的所收集的行为信息；使用所述增强型决策树桩的第一权重值，来计算向所生成的精简分类器模型中的所述增强型决策树桩中的每一个增强型决策树桩应用所收集的行为信息的结果的第一加权平均；以及将所述第一加权平均与门限值进行比较，以确定所述行为是否是良性的。10.根据权利要求9所述的方法，其中，选择对于所述行为的所述分类贡献最大的所述特征包括：使用所述增强型决策树桩的第二权重值，来确定对于将所述行为分类为良性贡献最大的所述特征。11.一种计算设备，包括：处理器，其被配置具有处理器可执行指令以执行操作，所述操作包括：监测设备行为以收集行为信息；基于所收集的行为信息来生成行为向量信息结构；向分类器模型应用所述行为向量信息结构以生成分析结果；使用所述分析结果对所述计算设备的行为进行分类；使用所述分析结果来确定由对于所述行为的分类贡献最大的所述分类器模型评估的特征；选择对于所述行为的所述分类贡献最大的所述特征；以及在所述计算设备的电子显示器上显示所选择的特征。12.根据权利要求11所述的计算设备，其中，所述处理器被配置具有处理器可执行指令以执行操作，使得使用所述分析结果对所述计算设备的所述行为进行分类包括：使用所述分析结果将所述行为分类为异常。13.根据权利要求11所述的计算设备，其中，所述处理器被配置具有处理器可执行指令以执行操作，使得：使用所述分析结果对所述计算设备的所述行为进行分类包括：使用所述分析结果将所述行为分类为非良性的；使用所述分析结果来确定由对于所述行为的所述分类贡献最大的所述分类器模型评估的所述特征，包括：使用所述分析结果来确定由对于将所述行为分类为非良性贡献最大的所述分类器模型评估的所述特征；以及选择对于所述行为的所述分类贡献最大的所述特征，包括：选择对于将所述行为分类为非良性贡献最大的所述特征。14.根据权利要求11所述的计算设备，其中，所述处理器被配置具有处理器可执行指令以执行操作，所述操作还包括：确定对于所述行为的所述分类贡献最大的所述特征的相对重要性。15.根据权利要求11所述的计算设备，其中，所述处理器被配置具有处理器可执行指令以执行操作，所述操作还包括：基于对于所述行为的所述分类贡献最大的所述特征，在用于识别、分析或者响应所述行为的计算设备处理、存储器和能量资源的量之间平衡权衡。16.根据权利要求11所述的计算设备，其中：所述处理器被配置具有处理器可执行指令以执行操作，所述操作还包括：接收包括有限状态机的完整分类器模型，所述有限状态机包括适合于表示为多个增强型决策树桩的信息，每一个增强型决策树桩包括测试条件、第一权重值和第二权重值；通过将所述完整分类器模型中包括的所述有限状态机转换成所述多个增强型决策树桩，生成增强型决策树桩列表；以及基于所述增强型决策树桩列表中包括的增强型决策树桩，在所述计算设备中生成精简分类器模型，以及所述处理器被配置具有处理器可执行指令以执行操作，使得向所述分类器模型应用所述行为向量信息结构以生成所述分析结果，包括：向所生成的精简分类器模型中的所述增强型决策树桩中的每一个增强型决策树桩应用所述行为向量信息结构中包括的所收集的行为信息；使用所述增强型决策树桩的第一权重值，来计算向所生成的精简分类器模型中的所述增强型决策树桩中的每一个增强型决策树桩应用所收集的行为信息的结果的第一加权平均；以及将所述第一加权平均与门限值进行比较，以确定所述行为是否是良性的。17.根据权利要求16所述的计算设备，其中，所述处理器被配置具有处理器可执行指令以执行操作，使得选择对于...

【专利技术属性】
技术研发人员：V·斯里哈拉，Y·陈，R·古普塔，
申请(专利权)人：高通股份有限公司，
类型：发明
国别省市：美国,US