对比文件名称：2014-02-13_发明申请_US20140047544A1 Server-Side Malware Detection and Classification
目标专利名称：150监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
模型名称：专利创造性评估模型
## 特征比对表格
| 技术特征描述以及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **技术特征A**：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模《隐含公开》 | 第[0041]段：“the detection and classification unit would determine the presence of a detectable marker by comparing the received values against expected values”； 第[0072]段：“Verifier verifies that both the final function value and partial results are correct and are reported by device to the verifier within acceptable time bounds.” | 对比文件公开了检测和分类单元（相当于第一节点）会将从联网设备（相当于第二节点）接收到的值（如对计算挑战的响应）与“预期值（expected values）”或“可接受的时间界限（acceptable time bounds）”进行比较。这些预期值或界限是基于正常、未受感染设备的行为建立的，隐含了为设备正常行为建立模型或基准的过程。虽然对比文件主要聚焦于恶意软件检测，但建立正常行为预期是进行异常检测的基础，因此本领域技术人员能够从对比文件中合理推断出为设备行为建模的技术特征。 |
| **技术特征B**：其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备《直接公开》 | 第[0022]段：“The disclosed invention is a server-side system that is utilized to identify and classify potential strains of malware... The system accomplishes this identification through the use of at least one detection and classification unit that is configured to collect interaction data from the plurality of networked units.”； 第[0029]段：“Examples of networked units that can be used in conjunction with the techniques described herein include desktop computers, notebook computers, ... and virtually any other device that includes a processor and a memory, including what is commonly referred to as ‘the Internet of things.’” | 对比文件明确公开了“检测和分类单元（detection and classification unit）”（相当于分析者节点）是一个服务器端系统，用于分析和分类恶意软件。同时，公开了“多个联网设备（plurality of networked units）”（相当于观察者节点），这些设备可以收集和/或报告交互数据（观察行为）。检测和分类单元与联网设备是不同的实体，通过通信网络连接。这直接公开了第一节点（分析者）和第二节点（观察者）是不同的IoT设备，并分别承担行为分析和观察本地行为的角色。 |
| **技术特征C**：在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息《直接公开》 | 第[0022]段：“collect interaction data from the plurality of networked units”； 第[0041]段：“the detection and classification unit issues a computational challenge... The particular networked unit would receive the computational challenge and respond with a set of values that can be interpreted as interaction data. Upon receiving the interaction data...” | 对比文件明确描述了检测和分类单元（第一节点）从多个联网设备（第二节点）收集“交互数据（interaction data）”。交互数据包括设备对计算挑战的响应、环境数据等，这些数据直接反映了在设备处观察到的行为（如计算完成时间、校验和值等）。数据通过网络连接传输。因此，对比文件直接公开了第一节点通过网络接收与第二节点处观察到的行为相关的信息。 |
| **技术特征D**：在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息《直接公开》 | 第[0022]段：“The collected information is analyzed by system process that can group data based on optimally suited cluster analysis methods.”； 第[0046]段：“The clustered interaction data is further analyzed by the detection and classification unit in order to identify patterns associated with known or unknown malware...” | 对比文件多次明确指出检测和分类单元对收集到的交互数据进行分析。分析过程包括聚类分析（cluster analysis）和模式识别（identify patterns），以识别与恶意软件相关的行为模式。这直接对应于在第一节点处分析从第二节点接收到的行为信息。 |
| **技术特征E**：在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的《直接公开》 | 第[0041]段：“the detection and classification unit would determine the presence of a detectable marker by comparing the received values against expected values”； 第[0072]段：“...where success is a variable that indicates whether the timing and the value result both are satisfactory.” | 对比文件明确描述了检测和分类单元通过将接收到的值（如计算挑战的结果）与“预期值（expected values）”进行比较，来确定是否存在可检测的标记（异常）。变量“success”指示时序和值结果是否都“令人满意（satisfactory）”，这隐含了与正常（满意）状态的比较。该比较的直接目的就是确定设备的行为是否异常（即是否感染恶意软件）。因此，该技术特征被直接公开。 |
| **技术特征F**：以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常《直接公开》 | 第[0022]段：“The system further interprets the clustered information to extrapolate propagation characteristics of the strain of malware and determine a potential response action.”； 第[0023]段：“...and a security action 303 taken. Example actions 303 are network isolation until the networked units have been verified to be secure; malware scan of identified networked units; and limited transaction capabilities...” | 对比文件明确说明，在识别出恶意软件（异常状况）后，系统会确定并启动“响应动作（response action）”或“安全动作（security action）”。这些动作，如网络隔离、恶意软件扫描、限制交易能力等，旨在矫正或缓解检测到的异常（恶意软件感染）。这直接对应于触发执行者来矫正行为异常。 |
| **技术特征G**：其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。《直接公开》 | 第[0023]段：“Example actions 303 are network isolation until the networked units have been verified to be secure; malware scan of identified networked units; and limited transaction capabilities until a security task has been completed for the identified networked units.” | 对比文件具体列举了响应动作（执行者）所采用的技术，例如“网络隔离（network isolation）”、“恶意软件扫描（malware scan）”、“限制交易能力（limited transaction capabilities）”。这些技术手段正是用于辅助矫正检测到的异常行为（恶意软件感染）。因此，该技术特征被直接公开。 |
| **技术特征H**：其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。《直接公开》 | 第[0043]段：“the detectable marker consists of low dimensional data that contains at least two variables which can be interpreted as vectors in a coordinate space.”； 第[0045]段：“the detectable marker consists of high dimensional data that contains a large quantity of variables that are vectors that correspond with a few dozen to several thousand dimensions.” | 对比文件明确描述了可检测标记（其来源于交互数据/行为信息）可以由低维或高维数据构成，这些数据中的变量可以被解释为“坐标空间中的向量（vectors in a coordinate space）”，并对应几十到几千个维度。这直接公开了从行为信息中提取变量（特征）并将其映射为多维空间中的向量的过程。虽然术语“行为特征”未明确使用，但变量如时间、位置、计算结果等即代表了行为特征。 |
| **技术特征I**：进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模《隐含公开》 | 第[0031]段：“The observable similarities contain environmental data that provides information regarding the specific conditions associated with each of the plurality of networked unit...”； 第[0055]段：“observing the environmental data may help disambiguate between two or more known strains of malware...”。 | 对比文件强调在分析中考虑“环境数据（environmental data）”，包括设备位置、用户社交网络、设备软件版本等。通过聚类和分析跨多个设备的环境数据与行为数据，系统能够识别恶意软件的传播模式。这隐含了对由多个设备（包括第一节点和第二节点）构成的网络环境或群体状态进行建模，以理解整体上下文。本领域技术人员可以合理推断，为了有效进行跨设备的异常检测，对网络环境进行某种形式的建模是必要的。 |
| **技术特征J**：以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。《隐含公开》 | 第[0063]段：“By extrapolating propagation characteristics, the detection and classification unit can determine what networked units are at high risk. Through the determination of high risk network units, the detection and classification unit can proactively require associated networked units to be screened...” | 对比文件描述了系统根据推断出的恶意软件传播特性，确定哪些联网设备处于高风险，并据此采取主动措施（如筛查、限制访问）。这意味着系统根据新观察和分析的信息（行为信息），更新了其对网络中各设备风险状态（属于当前状态的一部分）的理解，并调整了应对策略。这隐含了基于新行为信息更新与网络相关联的当前状态。 |
| **技术特征K**：其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性《直接公开》 | 第[0031]段：“Examples of environmental data can include but are not limited to... data associated with the networked unit and its user(s), such as the social network(s) associated with the user(s) of the device; recent activity associated with the device...”； 第[0035]段：“most of the observed units are within a two-mile radius and almost all of them are Android phones with a six-month old version of the operating system, and all are units that are known to have a Twitter app installed.” | 对比文件明确将“环境数据（environmental data）”作为分析的一部分，其中包含了与每个联网设备相关联的属性，例如设备类型（Android手机）、操作系统版本、安装的应用程序（Twitter app）、地理位置、用户社交网络等。这些属性在聚类和模式识别过程中被收集和使用，相当于聚集了每个IoT设备的属性。 |
| **技术特征L**：构造与所述本地IoT网络相关联的拓扑《隐含公开》 | 第[0055]段：“observing the environmental data may help disambiguate... if there is significant co-location among networked units... then it is concluded that these networked units are not likely to be infected with malware that spreads using Bluetooth or Wi-Fi.” | 对比文件通过分析设备间的“地理共置（co-location）”关系来推断恶意软件的传播方式（如通过蓝牙或Wi-Fi）。这种对设备间物理位置关系或连接关系的分析，隐含了构造或考虑设备网络拓扑（至少是地理位置拓扑）的过程。本领域技术人员可以理解，识别传播模式需要理解设备间的连接或邻近关系，这对应于网络拓扑的构造。 |
| **技术特征M**：从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型《隐含公开》 | 第[0036]段：“the detectable marker can be defined by a third party source. For example, the third party source could be a security database that compiles a list of behavioral profiles, signature profiles... provided to the detection and classification unit as an updatable list of detectable markers”。 | 对比文件提到，可检测标记可以由第三方来源（如安全数据库）定义，这些数据库编译了行为概况、签名概况等列表，并提供给检测和分类单元。这隐含了从外部仓储库（安全数据库）获取与设备或恶意软件行为相关的模型信息（行为概况、签名）。虽然未明确提及从“设备制造商”获取，但安全数据库作为存储行为相关模型的仓储库，其作用与目标专利中的“仓储库”相似。 |
| **技术特征N**：以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。《隐含公开》 | 第[0035]段：“This is the type of pattern that would be identified by the system. The system then automatically generates a plausible description of the problem, which in this example case could be that there is a geographically propagating malware that affects six-month old Android handsets' that use the Twitter app.” | 对比文件举例说明了系统如何结合设备属性（Android系统版本、安装Twitter应用）、设备间拓扑关系（地理邻近性）、以及已知的恶意软件行为模式（地理传播）来识别问题模式。这显示了系统在分析时组合了不同类型的信息（属性、关系/拓扑、行为知识）来形成对网络环境或威胁状况的理解（即建模）。虽然步骤描述不如目标专利详细，但组合这些元素进行分析的过程被隐含公开。 |
| **技术特征O**：进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。《隐含公开》 | 第[0063]段：“...and alerts resource providers of the outbreak and its associated trends and characteristics.”； 第[0037]段：“the user could report the anomalous event to a network proxy... the customer service representative would report the event and submit it as indirect interaction data...”。 | 对比文件提到系统可以“警报资源提供者（alerts resource providers）”，这可以视为一种向服务相关实体报告异常的形式。此外，文件还描述了用户通过客户服务代表报告异常事件，然后代表将事件作为间接交互数据提交。这显示了异常信息可以通过中间节点（如客户服务代表）传达给系统。虽然“客户服务实体”的表述可能更宽泛，但“资源提供者”或“客户服务代表”在功能上可被视为客户服务实体的一部分，因此该特征被隐含公开。 |
| **技术特征P**：其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。《直接公开》 | 标题：“Server-Side Malware Detection and Classification”； 第[0022]段：“identify and classify potential strains of malware and other types of undesirable processes”。 | 对比文件的主题就是服务器端的恶意软件检测和分类。全文的核心是检测和分类在联网设备上运行的恶意软件，即检测指示潜在恶意攻击的异常行为。因此，异常行为指示潜在恶意攻击这一特征被直接且明确地公开。 |
| **技术特征Q**：其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。《隐含公开》 | 第[0033]段：“Anomalous values are not necessarily indicative of a malicious failure... it is also possible for a unit to fail to respond to a request due to a network failure, a benevolent system failure associated with the unit, or a power failure associated with the unit.” | 对比文件承认，异常值（即可检测标记）不一定指示恶意故障，也可能源于网络故障、良性的系统故障或电源故障。这表明系统检测到的异常行为可以指示设备的各种潜在故障或异常工作状况，而不仅仅是恶意攻击。因此，该技术特征被隐含公开。 |
| **技术特征R**：其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。《直接公开》 | 第[0029]段：“Each of the plurality of networked unit comprise physical memory, a processor, and a network access module.”； 第[0041]段：“The particular networked unit would receive the computational challenge and respond with a set of values...”。 | 对比文件描述了联网设备（第二节点）包含物理内存、处理器和网络访问模块等组件。这些组件使设备能够接收计算挑战、执行计算并生成响应值，从而观察和报告其自身的行为（如计算性能、内存状态）。因此，设备包括观察行为的组件被直接公开。 |
| **技术特征S**：其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。《直接公开》 | 第[0024]段：“The network access module is the communications channel through which the detection and classification unit interacts with the plurality of networked units.”； 第[0025]段：“the proxy can function as a network intermediary that collects interaction data from the plurality of networked units prior to transmitting the collected interaction data across a network connection to the detection and classification unit.” | 对比文件明确联网设备具有“网络访问模块（network access module）”，作为与检测和分类单元（第一节点）通信的通道，这相当于发射机功能。同时，文件公开了“代理（proxy）”可以作为网络中间人（第三节点），从联网设备收集交互数据，然后通过网络连接转发给检测和分类单元。这直接对应于通过第三节点中继行为特征的技术方案。 |
| **技术特征T**：其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。《直接公开》 | 第[0025]段：“the proxy can function as a network intermediary that collects interaction data from the plurality of networked units prior to transmitting the collected interaction data across a network connection to the detection and classification unit.”； 第[0026]段：“the proxy can be implemented as a hardware or firmware component associated with the modem processor of a networked device... observes computational behavior associated with the physical device... and communicates this to the networked connection.” | 对比文件详细描述了“代理（proxy）”可以充当网络中间人，监视并收集来自联网设备的交互数据，然后转发给检测和分类单元。代理可以作为网络上的一个节点，监视设备传送的消息或行为。此外，代理还可以是实现为设备调制解调器处理器上的硬件/固件组件，观察该设备的计算行为并报告。这直接公开了存在监视节点（代理）并将基于监视消息获得的行为信息传送给第一节点。 |
| **技术特征U**：其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。《隐含公开》 | 第[0035]段：“While anomalous values are not directly indicative of a failure that is desirable to detect, it is meaningful to use them as a signal... Moreover, if an unusual number of these units are co-located and have similar environmental descriptors, the observation is very relevant.”； 第[0083]段：“Based on the classification of the networked unit... and based on patterns observed in terms of environmental data; and based on such information associated with other networked units; the detection and classification unit will be able to further narrow down what the malware does.” | 对比文件强调，判断一个值是否异常（以及是否指示恶意软件）不仅基于单个设备的响应，还需要考虑环境数据和其他设备的状态。例如，如果大量设备在相似环境（如相同地理区域、相同软件版本）下都表现出异常，则更可能指示恶意软件传播。这隐含了存在一个基于网络整体环境和其他设备状态的“总状态”或上下文模型，单个设备的行为需要在这个总状态的背景下被评估为正常或异常。 |
| **技术特征V**：进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。《直接公开》 | 第[0047]、[0048]段列举了用于模式识别的监督和非监督学习方法，如“support vector machines”、“neural networks”、“k-means clustering”等； 整个系统通过持续收集和分析数据来改进检测，隐含模型更新。 | 对比文件明确将机器学习方法（如支持向量机、神经网络、k-means聚类等）应用于交互数据的聚类和模式识别，以识别恶意软件。一个使用机器学习进行模式识别的系统，必然会根据新的、被判定为正常的数据来调整和更新其模型，以提高未来识别的准确性并降低误报。因此，应用机器学习来更新设备行为模型这一特征被直接公开。 |
<<<B>>><<<C>>><<<D>>><<<E>>><<<F>>><<<G>>><<<H>>><<<K>>><<<P>>><<<R>>><<<S>>><<<T>>><<<V>>><<<a>>><<<i>>><<<j>>><<<l>>><<<m>>><<<n>>><<<o>>><<<q>>><<<u>>>