TWI789075B

TWI789075B - 偵測應用程式的異常執行的電子裝置及方法

Info

Publication number: TWI789075B
Application number: TW110139663A
Authority: TW
Inventors: 廖哲慶; 華荐治; 施君熹
Original assignee: 中華電信股份有限公司
Priority date: 2021-10-26
Filing date: 2021-10-26
Publication date: 2023-01-01
Also published as: TW202318198A

Abstract

提供一種偵測應用程式的異常執行的電子裝置及方法。所述方法包括：接收用戶端電子裝置執行的應用程式的執行記錄，其中執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數；利用多個應用程式執行次數計算執行次數門檻值，並且利用多個應用程式執行次數決定是否採用執行次數門檻值；響應於決定採用執行次數門檻值而利用多個應用程式執行次數以及執行次數門檻值判定應用程式在多個執行時間點的執行狀態；以及響應於判定執行狀態為異常狀態而發出對應於應用程式的異常通知。

Description

偵測應用程式的異常執行的電子裝置及方法

本發明是有關於一種偵測應用程式的異常執行的電子裝置及方法。

偵測應用程式的異常使用行為通常相當耗時且需要大量人力。此外，應用程式的管理人員即使取得了應用程式的執行記錄，仍缺乏有效率的方式來判定應用程式是否執行異常。基此，需要提出一種改良的偵測應用程式的異常執行的電子裝置及方法。

本發明提供一種偵測應用程式的異常執行的電子裝置及方法，可提高管理人員偵測應用程式的異常執行的效率。

本發明的偵測應用程式的異常執行的電子裝置包括儲存媒體、收發器以及處理器。儲存媒體儲存多個模組。處理器耦接儲存媒體以及收發器，並且存取和執行多個模組，其中多個模組包括執行記錄接收模組、執行次數門檻值計算與決定模組、執行狀態判定模組以及執行狀態回報模組。執行記錄接收模組通過收發器接收用戶端電子裝置執行的應用程式的執行記錄，其中執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數。執行次數門檻值計算與決定模組利用多個應用程式執行次數計算執行次數門檻值，並且利用多個應用程式執行次數決定是否採用執行次數門檻值。執行狀態判定模組響應於執行次數門檻值計算與決定模組決定採用執行次數門檻值而利用多個應用程式執行次數以及執行次數門檻值判定應用程式在多個執行時間點的執行狀態。執行狀態回報模組響應於執行狀態判定模組判定執行狀態為異常狀態而通過收發器發出對應於應用程式的異常通知。

本發明的偵測應用程式的異常執行的方法包括：接收用戶端電子裝置執行的應用程式的執行記錄，其中執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數；利用多個應用程式執行次數計算執行次數門檻值，並且利用多個應用程式執行次數決定是否採用執行次數門檻值；響應於決定採用執行次數門檻值而利用多個應用程式執行次數以及執行次數門檻值判定應用程式在多個執行時間點的執行狀態；以及響應於判定執行狀態為異常狀態而發出對應於應用程式的異常通知。

基於上述，本發明的偵測應用程式的異常執行的電子裝置及方法可利用應用程式在（不同）執行時間點的應用程式執行次數，以及管理人員所設定的執行次數門檻值計算調整值來計算執行次數門檻值。除此之外，還可判斷是否採用所計算出的執行次數門檻值（例如，利用應用程式執行次數中的最大值與最小值來輔助判斷）。基此，可利用較符合管理人員需求且較恰當的執行次數門檻值來判定應用程式的執行狀態，從而提高了管理人員偵測應用程式的異常執行的效率。

圖1是根據本發明的一實施例繪示的一種偵測應用程式的異常執行的電子裝置100的示意圖。電子裝置100可包括儲存媒體110、收發器120以及處理器130。在一實施例中，電子裝置100還可包括輸入輸出裝置140。

儲存媒體110例如是任何型態的固定式或可移動式的隨機存取記憶體（random access memory，RAM）、唯讀記憶體（read-only memory，ROM）、快閃記憶體（flash memory）、硬碟（hard disk drive，HDD）、固態硬碟（solid state drive，SSD）或類似元件或上述元件的組合，而用於儲存可由處理器130執行的多個模組或各種應用程式。在本實施例中，儲存媒體110可儲存包括執行記錄接收模組111、執行次數門檻值計算與決定模組112、執行狀態判定模組113以及執行狀態回報模組114等多個模組。此些模組的功能將於後續說明。

收發器120以無線或有線的方式傳送及接收訊號。

處理器130例如是中央處理單元（central processing unit，CPU），或是其他可程式化之一般用途或特殊用途的微控制單元（micro control unit，MCU）、微處理器（microprocessor）、數位信號處理器（digital signal processor，DSP）、可程式化控制器、特殊應用積體電路（application specific integrated circuit，ASIC）、圖形處理器（graphics processing unit，GPU）、影像訊號處理器（image signal processor，ISP）、影像處理單元（image processing unit，IPU）、算數邏輯單元（arithmetic logic unit，ALU）、複雜可程式邏輯裝置（complex programmable logic device，CPLD）、現場可程式化邏輯閘陣列（field programmable gate array，FPGA）或其他類似元件或上述元件的組合。處理器130可耦接至儲存媒體110、收發器120以及輸入輸出裝置140，並且存取和執行儲存於儲存媒體110中的多個模組和各種應用程式。

輸入輸出裝置140耦接至處理器130並用以傳遞訊號。例如，處理器130可經由輸入輸出裝置140接收輸入訊號或者傳送輸出訊號。例如，輸入輸出裝置140可包括滑鼠、鍵盤、螢幕、觸控面板、及/或揚聲器等各式輸入/輸出裝置。

在本實施例中，執行記錄接收模組111可通過收發器120接收用戶端電子裝置執行的應用程式的執行記錄，其中執行記錄可包括分別對應於多個執行時間點的多個應用程式執行次數。本實施例中的應用程式例如是由用戶端電子裝置所執行的軟體或執行序。

接著，執行次數門檻值計算與決定模組112可利用多個應用程式執行次數計算執行次數門檻值。以下將進一步說明。

在一實施例中，多個執行時間點可包括多個當前執行時間點，且多個應用程式執行次數可包括分別對應於多個當前執行時間點的多個當前應用程式執行次數。

表1是分別對應於多個當前執行時間點（即，時間點1、…直到時間點4）的多個當前應用程式執行次數的一個實例（在表1的例子中，在時間點2時應用程式P並未被執行）。表1

執行時間點	應用程式P的執行次數
時間點1	1次
時間點3	5次
時間點4	2次

執行次數門檻值計算與決定模組112可利用多個當前應用程式執行次數計算執行次數門檻值。舉例來說，執行次數門檻值計算與決定模組112可將表1中各當前應用程式執行次數中的最大值做為執行次數門檻值，然而本發明不限於此。

在一實施例中，執行次數門檻值可包括執行次數上限門檻值以及執行次數下限門檻值。

在一實施例中，為了讓執行次數門檻值更符合電子裝置100的管理人員的需求，電子裝置100的管理人員可通過輸入輸出裝置140輸入執行次數門檻值計算調整值C1及C2（換言之，執行次數門檻值計算與決定模組112可通過輸入輸出裝置140接收執行次數門檻值計算調整值C1及C2）。接著，執行次數門檻值計算與決定模組112可利用多個當前應用程式執行次數以及執行次數門檻值計算調整值C1及C2。例如，執行次數門檻值計算與決定模組112可根據下列公式1以及公式2計算執行次數門檻值。 THRESHOLD(UPPER-BOUND) = MEAN( COUNT(S) ) + C1 * STD( COUNT(S) ) … (公式1) THRESHOLD(LOWER-BOUND) = MEAN( COUNT(S) ) + C2 * STD( COUNT(S) ) … (公式2) 其中S為當前執行時間點（即表1中的時間點1、…直到時間點4），COUNT(1)為時間點1的應用程式執行次數、…直到COUNT(4)為時間點4的應用程式執行次數，MEAN(COUNT(S))為COUNT(1)、…直到COUNT(4)的平均值，C1及C2為執行次數門檻值計算調整值，STD(COUNT(S))為COUNT(1)…直到COUNT(4)的標準差，THRESHOLD(UPPER-BOUND)為執行次數上限門檻值，THRESHOLD(LOWER-BOUND)為執行次數下限門檻值。

執行次數門檻值計算與決定模組112可利用表1以及公式1得到MEAN( COUNT(S) )為2.66以及 STD( COUNT(S) )為2.08，且假設執行次數門檻值計算與決定模組112通過輸入輸出裝置140接收的執行次數門檻值計算調整值C1為1，執行次數門檻值計算與決定模組112可利用公式1計算出執行次數上限門檻值為4.74次。

此外，假設執行次數門檻值計算與決定模組112通過輸入輸出裝置140接收的執行次數門檻值計算調整值C2為0.5，執行次數門檻值計算與決定模組112可利用公式2以及上述的MEAN( COUNT(S) )與STD( COUNT(S) )計算出執行次數下限門檻值為3.70次。

在一實施例中，多個執行時間點更可包括多個歷史執行時間點，且多個應用程式執行次數更包括分別對應於多個歷史執行時間點的多個歷史應用程式執行次數。

表2是分別對應於多個歷史執行時間點（在此假設歷史執行時間點為時間點1、…直到時間點4）的多個歷史應用程式執行次數，以及分別對應於多個當前執行時間點（在此假設當前執行時間點為時間點5、…時間點9）的多個當前應用程式執行次數的一個實例（在表2的例子中，在時間點2及時間點8時應用程式P並未被執行）。換言之，執行記錄接收模組111可先獲得時間點1、…直到時間點4的應用程式P的執行次數，然後獲得時間點5、…直到時間點9的應用程式P的執行次數，以得到表2所示的執行記錄。表2

執行時間點	應用程式P的執行次數
時間點1	1次
時間點3	5次
時間點4	2次
時間點5	1次
時間點6	1次
時間點7	3次
時間點9	1次

執行次數門檻值計算與決定模組112可利用多個當前應用程式執行次數、執行次數門檻值計算調整值以及多個歷史應用程式執行次數計算執行次數門檻值。例如，執行次數門檻值計算與決定模組112可利用下列公式3以及公式4計算執行次數門檻值。 THRESHOLD(UPPER-BOUND) = MEAN( COUNT(U) ) + C1 * STD( COUNT(U) ) … (公式3) THRESHOLD(LOWER-BOUND) = MEAN( COUNT(U) ) + C2 * STD( COUNT(U) ) … (公式4) 其中U 為歷史執行時間點（即表2中的時間點1、…直到時間點4）及當前執行時間點（即表2中的時間點5、…時間點9）， COUNT(1)為時間點1的應用程式執行次數、…直到COUNT(9)為時間點9的應用程式執行次數，MEAN(COUNT(U))為COUNT(1)、COUNT(2)、…直到COUNT(9)的平均值，C1及C2為執行次數門檻值計算調整值，STD(COUNT(U))為COUNT(1)、COUNT(2)、…直到COUNT(9)的標準差，THRESHOLD(UPPER-BOUND)為執行次數上限門檻值，THRESHOLD(LOWER-BOUND)為執行次數下限門檻值。

執行次數門檻值計算與決定模組112可利用表2以及公式3得到MEAN( COUNT(U) )為2.0以及 STD( COUNT(U) )為1.52，且假設執行次數門檻值計算與決定模組112通過輸入輸出裝置140接收的執行次數門檻值計算調整值C1為1，執行次數門檻值計算與決定模組112可利用公式3計算出執行次數上限門檻值為3.52次。

此外，假設執行次數門檻值計算與決定模組112通過輸入輸出裝置140接收的執行次數門檻值計算調整值C2為0.5，執行次數門檻值計算與決定模組112可利用公式4以及上述的MEAN( COUNT(U) )與STD( COUNT(U) )計算出執行次數下限門檻值為2.76次。

在計算完執行次數門檻值之後，執行次數門檻值計算與決定模組112可利用多個應用程式執行次數決定是否採用執行次數門檻值。

在一實施例中，執行次數門檻值計算與決定模組112可判斷執行次數上限門檻值是否小於多個應用程式執行次數中的最大值。響應於所述執行次數上限門檻值小於所述多個應用程式執行次數中的最大值，執行次數門檻值計算與決定模組112可決定採用執行次數上限門檻值。在決定採用執行次數上限門檻值之後，執行次數門檻值計算與決定模組112可儲存執行次數上限門檻值於儲存媒體110。

此外，執行次數門檻值計算與決定模組112可判斷執行次數下限門檻值是否大於多個應用程式執行次數中的最小值。響應於執行次數下限門檻值大於多個應用程式執行次數中的最小值，執行次數門檻值計算與決定模組112可決定採用執行次數下限門檻值。在決定採用執行次數下限門檻值之後，執行次數門檻值計算與決定模組112可儲存執行次數下限門檻值於儲存媒體110。

舉例來說，在前述表2（及公式3與公式4）的實施例中，由於利用公式3計算出的執行次數上限門檻值3.52次小於表2中各應用程式執行次數中的最大值（5次），執行次數門檻值計算與決定模組112可決定採用此執行次數上限門檻值。

此外，由於利用公式4計算出的執行次數下限門檻值2.76次大於表2中各應用程式執行次數中的最小值（1次），執行次數門檻值計算與決定模組112可決定採用此執行次數下限門檻值。

另一方面，若執行次數上限門檻值大於多個應用程式執行次數中的最大值，執行次數門檻值計算與決定模組112可決定不採用此執行次數上限門檻值。

此外，若執行次數下限門檻值小於多個應用程式執行次數中的最小值，執行次數門檻值計算與決定模組112可決定不採用此執行次數下限門檻值。

換言之，在前述表2實施例中，若執行次數門檻值計算與決定模組112決定不採用執行次數上限門檻值，或者決定不採用執行次數下限門檻值，執行次數門檻值計算與決定模組112可將利用表2以及公式3、4所計算出的執行次數上限門檻值與執行次數下限門檻值刪除。待執行記錄接收模組111後續接收到（後續時間點的）應用程式執行次數之後，執行次數門檻值計算與決定模組112可利用前述實施例中所說明的方式，再次計算執行次數上限門檻值及執行次數下限門檻值。例如，執行次數門檻值計算與決定模組112可將後續接收到的時間點10、…直到時間點12做為當前時間點，且將表2所示的時間點1、…直到時間點9做為歷史時間點，並利用分別對應於時間點10、…直到時間點12的當前應用程式執行次數，以及表2所示分別對應於時間點1、…直到時間點9的歷史應用程式執行次數，來計算執行次數上限門檻值及執行次數下限門檻值。

響應於執行次數門檻值計算與決定模組112決定採用執行次數門檻值，執行狀態判定模組113可利用多個應用程式執行次數以及執行次數門檻值判定應用程式在多個執行時間點的執行狀態。舉例來說，若特定應用程式P在特定執行時間點的應用程式執行次數大於執行次數下限門檻值，執行狀態判定模組113可判定應用程式P在此特定執行時間點的執行狀態為異常狀態。

響應於執行狀態判定模組113判定執行狀態為異常狀態，執行狀態回報模組114可通過收發器120發出對應於應用程式的異常通知（例如，預警或告警）。舉例來說，若應用程式P在特定執行時間點的應用程式執行次數大於執行次數下限門檻值，執行狀態回報模組114可通過收發器120發出預警。若特定應用程式P在特定執行時間點的應用程式執行次數大於執行次數上限門檻值，執行狀態回報模組114可通過收發器120發出告警。

圖2是根據本發明的一實施例繪示的一種偵測應用程式的異常執行的方法的流程圖，其中所述方法可由電子裝置100實施。在步驟S201中，接收用戶端電子裝置執行的應用程式的執行記錄，其中執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數。在步驟S202中，利用多個應用程式執行次數計算執行次數門檻值，並且利用多個應用程式執行次數決定是否採用執行次數門檻值。在步驟S203中，響應於決定採用執行次數門檻值而利用多個應用程式執行次數以及執行次數門檻值判定應用程式在多個執行時間點的執行狀態。在步驟S204中，響應於判定執行狀態為異常狀態而發出對應於應用程式的異常通知。

綜上所述，本發明的偵測應用程式的異常執行的電子裝置及方法可利用應用程式在（不同）執行時間點的應用程式執行次數，以及管理人員所設定的執行次數門檻值計算調整值來計算執行次數門檻值。除此之外，還可判斷是否採用所計算出的執行次數門檻值（例如，利用應用程式執行次數中的最大值與最小值來輔助判斷）。基此，可利用較符合管理人員需求且較恰當的執行次數門檻值來判定應用程式的執行狀態，從而提高了管理人員偵測應用程式的異常執行的效率。

100:偵測應用程式的異常執行的電子裝置 110:儲存媒體 111:執行記錄接收模組 112:執行次數門檻值計算與決定模組 113:執行狀態判定模組 114:執行狀態回報模組 120:收發器 130:處理器 140:輸入輸出裝置 S201~S204:步驟

圖1是根據本發明的一實施例繪示的一種偵測應用程式的異常執行的電子裝置的示意圖。圖2是根據本發明的一實施例繪示的一種偵測應用程式的異常執行的方法的流程圖。

S201~S204:步驟

Claims

一種偵測應用程式的異常執行的電子裝置，包括：儲存媒體，儲存多個模組；收發器；以及處理器，耦接所述儲存媒體以及所述收發器，並且存取和執行所述多個模組，其中所述多個模組包括：執行記錄接收模組，通過所述收發器接收用戶端電子裝置執行的所述應用程式的執行記錄，其中所述執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數；執行次數門檻值計算與決定模組，利用所述多個應用程式執行次數計算執行次數門檻值，並且利用所述多個應用程式執行次數決定是否採用所述執行次數門檻值；執行狀態判定模組，響應於所述執行次數門檻值計算與決定模組決定採用所述執行次數門檻值而利用所述多個應用程式執行次數以及所述執行次數門檻值判定所述應用程式在所述多個執行時間點的執行狀態；以及執行狀態回報模組，響應於所述執行狀態判定模組判定所述執行狀態為異常狀態而通過所述收發器發出對應於所述應用程式的異常通知。
如請求項1所述的偵測應用程式的異常執行的電子裝置，其中所述多個執行時間點包括多個當前執行時間點，且所述多個應用程式執行次數包括分別對應於所述多個當前執行時間點的多個當前應用程式執行次數，其中所述執行次數門檻值計算與決定模組利用所述多個當前應用程式執行次數計算所述執行次數門檻值。
如請求項2所述的偵測應用程式的異常執行的電子裝置，更包括耦接所述處理器的輸入輸出裝置，其中所述執行次數門檻值計算與決定模組通過所述輸入輸出裝置接收執行次數門檻值計算調整值；所述執行次數門檻值計算與決定模組利用所述多個當前應用程式執行次數以及所述執行次數門檻值計算調整值計算所述執行次數門檻值。
如請求項3所述的偵測應用程式的異常執行的電子裝置，其中所述多個執行時間點更包括多個歷史執行時間點，且所述多個應用程式執行次數更包括分別對應於所述多個歷史執行時間點的多個歷史應用程式執行次數，其中所述執行次數門檻值計算與決定模組利用所述多個當前應用程式執行次數、所述執行次數門檻值計算調整值以及所述多個歷史應用程式執行次數計算所述執行次數門檻值。
如請求項1所述的偵測應用程式的異常執行的電子裝置，其中所述執行次數門檻值包括執行次數上限門檻值以及執行次數下限門檻值，其中：響應於所述執行次數上限門檻值小於所述多個應用程式執行次數中的最大值，所述執行次數門檻值計算與決定模組決定採用所述執行次數上限門檻值；響應於所述執行次數下限門檻值大於所述多個應用程式執行次數中的最小值，所述執行次數門檻值計算與決定模組決定採用所述執行次數下限門檻值。
一種偵測應用程式的異常執行的方法，包括：接收用戶端電子裝置執行的所述應用程式的執行記錄，其中所述執行記錄包括分別對應於多個執行時間點的多個應用程式執行次數；利用所述多個應用程式執行次數計算執行次數門檻值，並且利用所述多個應用程式執行次數決定是否採用所述執行次數門檻值；響應於決定採用所述執行次數門檻值而利用所述多個應用程式執行次數以及所述執行次數門檻值判定所述應用程式在所述多個執行時間點的執行狀態；以及響應於判定所述執行狀態為異常狀態而發出對應於所述應用程式的異常通知。
如請求項6所述的偵測應用程式的異常執行的方法，其中所述多個執行時間點包括多個當前執行時間點，且所述多個應用程式執行次數包括分別對應於所述多個當前執行時間點的多個當前應用程式執行次數，其中利用所述多個應用程式執行次數計算所述執行次數門檻值的步驟包括：利用所述多個當前應用程式執行次數計算所述執行次數門檻值。
如請求項7所述的偵測應用程式的異常執行的方法，其中利用所述多個應用程式執行次數計算所述執行次數門檻值的步驟更包括：接收執行次數門檻值計算調整值；利用所述多個當前應用程式執行次數以及所述執行次數門檻值計算調整值計算所述執行次數門檻值。
如請求項8所述的偵測應用程式的異常執行的方法，其中所述多個執行時間點更包括多個歷史執行時間點，且所述多個應用程式執行次數更包括分別對應於所述多個歷史執行時間點的多個歷史應用程式執行次數，其中利用所述多個應用程式執行次數計算所述執行次數門檻值的步驟更包括：利用所述多個當前應用程式執行次數、所述執行次數門檻值計算調整值以及所述多個歷史應用程式執行次數計算所述執行次數門檻值。
如請求項6所述的偵測應用程式的異常執行的方法，其中所述執行次數門檻值包括執行次數上限門檻值以及執行次數下限門檻值，其中利用所述多個應用程式執行次數決定是否採用所述執行次數門檻值的步驟包括：響應於所述執行次數上限門檻值小於所述多個應用程式執行次數中的最大值，所述執行次數門檻值計算與決定模組決定採用所述執行次數上限門檻；響應於所述執行次數下限門檻值大於所述多個應用程式執行次數中的最小值，所述執行次數門檻值計算與決定模組決定採用所述執行次數下限門檻值。