[發明專利]一種網絡攻擊的檢測方法及電子設備

在審

• 申請號: 201811152350.4
• 申請日: 2018-09-29
• 公開（公告）號: CN109040136A
• 公開（公告）日: 2018-12-18
• 發明（設計）人: 戚建飛;魯俊;梁宇;朱夢宇
• 申請（專利權）人: 成都亞信網絡安全產業技術研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種網絡攻擊的檢測方法，其特征在于，包括：

獲取待檢測程序在操作系統中的行為記錄；

根據所述待檢測程序在操作系統中的行為記錄，確定所述待檢測程序是否為可疑程序。

2.根據權利要求1所述網絡攻擊的檢測方法，其特征在于，所述根據所述待檢測程序在操作系統中的行為記錄，確定所述待檢測程序是否為可疑程序，具體包括：

將所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄進行對比，若所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄相匹配，則確定所述待檢測程序為可疑程序；其中，所述規則庫中包括至少一種惡意程序在操作系統中的行為記錄。

3.根據權利要求2所述網絡攻擊的檢測方法，其特征在于，在所述將所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄進行對比之前，所述方法還包括：

根據所述至少一種惡意程序在操作系統中的行為記錄，生成至少一種OpenIOC規則，將所述至少一種OpenIOC規則保存至OpenIOC規則庫中；

所述將所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄進行對比，若所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄相匹配，則確定所述待檢測程序為可疑程序，具體包括：

將所述至少一種OpenIOC規則轉換為結構化查詢語言SQL查詢語句；

利用所述SQL查詢語句，判斷所述待檢測程序在操作系統中的行為記錄與所述至少一種惡意程序在操作系統中的行為記錄是否匹配，若匹配則確定所述待檢測程序為可疑程序。

4.根據權利要求1-3任一項所述網絡攻擊的檢測方法，其特征在于，所述獲取待檢測程序在操作系統中的行為記錄，具體包括：

獲取所述操作系統的系統快照；

從所述操作系統的系統快照中獲取待檢測程序在操作系統中的行為記錄。

5.一種電子設備，其特征在于，包括：

獲取單元，用于獲取待檢測程序在操作系統中的行為記錄；

確定單元，用于根據所述待檢測程序在操作系統中的行為記錄，確定所述待檢測程序是否為可疑程序。

6.根據權利要求6所述電子設備，其特征在于，

所述確定單元，具體用于將所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄進行對比，若所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄相匹配，則確定所述待檢測程序為可疑程序；其中，所述規則庫中包括至少一種惡意程序在操作系統中的行為記錄。

7.根據權利要求6所述電子設備，其特征在于，所述電子設備還包括：規則生成單元；

所述規則生成單元，用于在所述確定單元將所述待檢測程序在操作系統中的行為記錄與規則庫中的行為記錄進行對比之前，根據所述至少一種惡意程序在操作系統中的行為記錄，生成至少一種OpenIOC規則，將所述至少一種OpenIOC規則保存至OpenIOC規則庫中；

所述確定單元，具體用于將所述至少一種OpenIOC規則轉換為SQL查詢語句；利用所述SQL查詢語句，判斷所述待檢測程序在操作系統中的行為記錄與所述至少一種惡意程序在操作系統中的行為記錄是否匹配，若匹配則確定所述待檢測程序為可疑程序。

8.根據權利要求5-7任一項所述電子設備，其特征在于，

所述獲取單元，具體用于獲取所述操作系統的系統快照；從所述操作系統的系統快照中獲取待檢測程序在操作系統中的行為記錄。

9.一種電子設備，其特征在于，包括：處理器、存儲器、總線和通信接口；所述存儲器用于存儲計算機執行指令，所述處理器與所述存儲器通過所述總線連接，當所述電子設備運行時，所述處理器執行所述存儲器存儲的所述計算機執行指令，以使所述電子設備執行如權利要求1-4中任一項所述網絡攻擊的檢測方法。

10.一種計算機存儲介質，其特征在于，包括指令，當其在電子設備上運行時，使得所述電子設備執行如權利要求1-4中任一項所述網絡攻擊的檢測方法。