(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211218014.1 (22)申请日 2022.09.30 (71)申请人 北京奇艺世纪科技有限公司 地址 100080 北京市海淀区北一 街2号鸿城 拓展大厦10、 1 1层 (72)发明人 翁迟迟　 (74)专利代理 机构 北京华夏泰和知识产权代理 有限公司 1 1662 专利代理师 由东媛 (51)Int.Cl. G06F 21/55(2013.01) G06F 21/56(2013.01) G06F 40/30(2020.01) G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 一种进程风险分析检测方法、 装置、 电子设 备及介质 (57)摘要 本发明涉及一种进程风险分析检测方法、 装 置、 电子设备及介质， 包括： 从操作系统的进 程参 数获取命令行字段以及元信息字段； 对所述命令 行字段进行语义特征工程， 获得命令行语义特征 向量； 对所述元信息字段进行人工特征工程， 获 得元信息 特征向量； 对所述命令行语义特征向量 以及所述元信息特征向量进行融合， 获得精准特 征向量； 对所述精准特征向量进行二维分类， 输 出二维分类结果向量； 根据所述二维分类结果向 量， 判定所述进程参数是否存在风险。 现有技术 难以兼顾 安全性与效率性且误报率较高， 本申请 主要运算资源都朝向最核心的命令行字段倾斜 以提升安全性， 元信息字段的提取可去除冗杂信 息， 进而能够显著降低企业 或单位识别入侵进程 的误报率。 权利要求书2页 说明书11页 附图6页 CN 115495736 A 2022.12.20 CN 115495736 A 1.一种进程 风险分析检测方法， 其特 征在于， 所述方法包括： 从操作系统的进程 参数获取命令行字段以及元信息 字段； 对所述命令行字段进行语义特 征工程， 获得命令行语义特 征向量； 对所述元信息 字段进行 人工特征工程， 获得 元信息特 征向量； 对所述命令行语义特 征向量以及所述元信息特 征向量进行融合， 获得精准特 征向量； 对所述精准特 征向量进行二维分类， 输出二维分类结果向量； 根据所述 二维分类结果向量， 判定所述进程 参数是否存在风险。 2.根据权利要求1所述的进程风险分析检测方法， 其特征在于， 所述从操作系统 的进程 参数获取命令行字段以及元信息 字段， 包括： 对所述进程 参数进行分组， 获得命令行 单元以及元信息单 元； 对所述命令行 单元进行预处理， 获得命令行字段； 对所述元信息单 元进行预处理， 获得元信息字段。 3.根据权利要求2所述的进程风险分析检测方法， 其特征在于， 所述对所述命令行字段 进行语义特 征工程， 获得命令行语义特 征向量， 包括： 根据预设的预 先编号规则， 对所述命令行字段进行 预先编号， 获得命令行编号； 将所述命令行编号输入预设的词向量 生成模型， 获得命令行词向量； 将所述命令行词向量输入预设的深度神经网络模型， 获得命令行局部词性特 征； 将所述命令行局部词性特 征输入预设的Bi LSTM模型， 获得命令行语义特 征向量。 4.根据权利要求3所述的进程风险分析检测方法， 其特征在于， 所述对所述元信 息字段 进行人工特征工程， 获得 元信息特 征向量， 包括： 根据预设的筛 选规则， 对所述元信息 字段进行筛 选， 获得目标 元信息字段； 根据预设的词汇列表， 对所述目标元信息字段进行筛选， 获得可识别的目标元信息字 段、 未识别的目标 元信息字段； 根据预设的空值填充表， 对所述未识别的目标元信息字段进行转化， 获得转化的目标 元信息字段； 根据预设的离散规则， 对所述可识别的目标元信息字段、 所述转化的目标元信息字段 进行离散数值化， 获得元信息离散特征向量； 根据预设的标准差、 方差以及均值， 对所述元信息离散特征向量进行归一化， 获得元信 息特征向量。 5.根据权利要求1所述的进程风险分析检测方法， 其特征在于， 所述对所述命令行语义 特征向量以及所述元信息特 征向量进行融合， 获得精准特 征向量， 包括： 对所述命令行语义特征向量以及所述元信 息特征向量进行拼接， 获得全连接层特征向 量； 根据预设的暂退机制， 对所述全连接层特 征向量进行精简， 获得精准特 征向量。 6.根据权利要求1所述的进程风险分析检测方法， 其特征在于， 所述对所述精准特征向 量进行二维分类， 输出二维分类结果向量， 包括： 对所述精准特 征向量进行Softmax分类， 输出二维分类结果向量。 7.根据权利要求1所述的进程风险分析检测方法， 其特征在于， 所述进程参数包括安全 进程参数与风险进程参数， 所述根据所述二维分类结果向量， 判定所述进程参数是否存在权　利　要　求　书 1/2 页 2 CN 115495736 A 2风险， 包括： 若所述二维分类结果向量的值为预设的第一数值， 判定所述进程参数为安全进程参 数； 若所述二维分类结果向量的值为预设的第二数值， 判定所述进程参数为风险进程参 数。 8.一种进程风险分析检测装置， 其特征在于， 所述进程风险分析检测装置包括用于执 行如权利要求1 ‑7任一项所述方法的单 元。 9.一种电子设备， 其特 征在于， 包括： 存储器， 用于存放计算机程序； 处理器， 用于执行存储器上所存放的程序时， 实现权利要求1 ‑7任一项所述方法的步 骤。 10.一种计算机可读存 储介质， 其特 征在于： 所述存储介质存储有计算机程序， 所述计算机程序当被处理器执行时可实现如权利要 求1‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115495736 A 3