[發明專利]一種物聯網自適應安全防護方法及系統

有效

• 申請號: 201811305228.6
• 申請日: 2018-11-05
• 公開（公告）號: CN109639634B
• 公開（公告）日: 2021-03-19
• 發明（設計）人: 王輝;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州中成專利事務所有限公司 33212
• 代理人: 周世駿

1.一種物聯網自適應安全防護方法，其特征在于，包括下述步驟：

步驟（1）：事前預測階段，通過外部威脅情報源對內部防護策略進行補充和同步，結合內部資產的安全評估，發現物聯網的風險和弱點，并采取智能分析的方法發現網絡中的隱蔽威脅；

步驟（2）：監控階段，對物聯網系統進行持續安全監控，采用對比分析的方式發現異常行為；具體包括下述子步驟：

步驟D：通過物聯網傳感器，周期性獲取物聯網系統的數據，包括進程、網絡和文件數據；

步驟E：對數據變化進行對比，將變化數據進行標簽化：

如果變化數據在黑名單列表中，則直接將該變化數據標記惡意行為，如果不在黑名單中進入下一步；

所述黑名單是指用于判斷惡意行為的黑名單IP列表；

步驟F：繪制進程、網絡和文件數據關系圖，如果變化數據在同區域網絡環境中的其他資產均無出現，則將該變化數據標記為可疑；

所述進程、網絡和文件數據關系圖是指：基于物聯網系統內部的資產關系，以及變化數據出現的概率，對應生成的變化數據關系圖；

步驟G：如果處于同一行為的關系鏈中的網絡、進程和文件數據，其中任意兩類數據均為可疑，則判斷該行為是異常行為；

步驟（3）：響應階段，利用監控階段發現的異常行為，判斷物聯網系統的內部資產是否已被入侵，若內部資產已被入侵，則對該內部資產進行處置并追溯攻擊來源；

提取異常行為的特征數據形成新的策略數據，并同步到該內部資產的防護模塊中更新策略；

步驟（4）：防護階段，對于響應階段更新策略數據的內部資產，識別與該內部資產處在同區域網絡環境中的其他物聯網資產，并將新增的策略數據同步到這些資產的防護模塊中進行策略更新，用于實現物聯網系統的整體安全防護；

所述同區域網絡環境是指在同一交換機或者同一虛擬網絡區域下的網絡環境。

2.根據權利要求1所述的一種物聯網自適應安全防護方法，其特征在于，所述步驟（1）中，事前預測階段具體包括下述子步驟：

步驟A：與外部威脅情報源建立通道，持續接收最新的威脅情報數據；所述威脅情報數據包括IP、MD5和惡意特征，用于應對新型網絡攻擊行為；

步驟B：對物聯網資產進行周期性安全評估，提前發現資產的弱點和風險，并針對發現的弱點和風險，及時更新物聯網的內部防護策略；

步驟C：收集物聯網中各類型的數據，并通過對數據進行智能分析，預測針對物聯網的新型網絡攻擊行為。

3.根據權利要求1所述的一種物聯網自適應安全防護方法，其特征在于，所述步驟（3）中，響應階段具體包括下述子步驟：

步驟H：對監控階段判定的異常行為進行分析，如果該異常行為的發起者是物聯網系統的內部資產，則判斷該內部資產已被入侵；

步驟I：對步驟H判定為已被入侵的資產，首先進行斷網處置，查看具體被入侵的方式，分析相關的進程和文件，對惡意的進程和后門程序進行刪除，然后對攻擊入侵的來源進行追溯，確認是否來自內部：

如果是來自內部，則對攻擊源進行殺毒處置；

如果不是來自內部，則將攻擊源的IP加入黑名單；

步驟J：對于響應階段處理后的異常行為，提取異常行為的特征數據，若該特征數據不在物聯網的內部防護策略中，則利用該特征數據形成新的策略數據，并同步到該內部資產的防護模塊中更新策略。

4.根據權利要求1所述的一種物聯網自適應安全防護方法，其特征在于，提取的異常行為的特征數據，包括攻擊源IP、惡意進程、病毒MD5文件；

所述防護模塊中的策略包括黑名單、防護進程策略特征庫和惡意樣本MD5列表；

利用異常行為的特征數據形成的策略數據，并同步到該內部資產的防護模塊中，具體是指：將特征數據中的攻擊源IP則加入策略的黑名單，將特征數據中的惡意進程則加入策略的防護進程策略特征庫，將特征數據中的病毒MD5文件則加入策略的惡意樣本MD5列表。

5.一種存儲設備，其中存儲有多條指令，所述指令適用于由處理器加載并執行：權利要求1所述的物聯網自適應安全防護方法。

6.一種物聯網自適應安全防護系統，包括處理器，適于實現各指令；以及存儲設備，適于存儲多條指令，所述指令適用于由處理器加載并執行：權利要求1所述的物聯網自適應安全防護方法。