[發明專利]一種失陷主機檢測方法、裝置、設備及可讀存儲介質

有效

• 申請號: 201911076453.1
• 申請日: 2019-11-06
• 公開（公告）號: CN110830470B
• 公開（公告）日: 2022-02-01
• 發明（設計）人: 李華生;吳相東
• 申請（專利權）人: 杭州安恒信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王云曉

1.一種失陷主機檢測方法，其特征在于，包括：

獲取網絡設備中的目標信息，所述目標信息為進程信息、通信信息、文件信息和登錄信息中的至少兩種的組合；

判斷所述目標信息是否異常；

若是，則根據異常信息確定所述網絡設備的異常行為指數，若所述異常行為指數不小于預設閾值，則確定所述網絡設備為失陷主機；

其中，所述根據異常信息確定所述網絡設備的異常行為指數，包括：

若所述目標信息中包括所述進程信息和/或所述文件信息，則將所述進程信息和/或所述文件信息中任一種信息確定為第一信息；若所述第一信息為所述異常信息，則利用殺毒軟件對所述第一信息進行查殺；若發現病毒，則確定所述第一信息的第一被攻擊指數為第一目標值；若未發現病毒，則確定所述第一信息的第一被攻擊指數為第二目標值；所述第一目標值不小于所述預設閾值，所述第二目標值小于所述預設閾值；

若所述目標信息中包括所述通信信息和/或所述登錄信息，則將所述通信信息和/或所述登錄信息中任一種信息確定為第二信息；若所述第二信息為所述異常信息，則判斷所述第二信息對應的IP地址是否為惡意IP地址；若所述IP地址為惡意IP地址，則確定所述第二信息的第二被攻擊指數為所述第一目標值；若所述IP地址不是惡意IP地址，則確定所述第二信息的第二被攻擊指數為所述第二目標值；

將所述第一被攻擊指數與所述第二被攻擊指數的總和確定為被攻擊行為指數，將所述被攻擊行為指數確定為所述異常行為指數。

2.根據權利要求1所述的失陷主機檢測方法，其特征在于，所述判斷所述目標信息是否異常，包括：

分別判斷所述目標信息中的每種信息是否異常；

若所述目標信息中存在所述異常信息，則確定所述目標信息異常；否則，確定所述目標信息正常。

3.根據權利要求2所述的失陷主機檢測方法，其特征在于，若所述異常行為指數不小于預設閾值，則確定所述網絡設備為失陷主機之后，還包括：

若所述第二信息為所述通信信息，則根據所述通信信息判斷與所述網絡設備通信的目標設備的IP地址是否為內網IP地址；若是，則判斷所述進程信息中記錄的所述網絡設備對所述目標設備發起的進程是否異常；若是，則確定所述網絡設備的通信攻擊指數為所述第一目標值；若否，則確定所述網絡設備的通信攻擊指數為所述第二目標值；

若所述目標設備的IP地址為內網IP地址，則判斷所述登錄信息中記錄的所述網絡設備對所述目標設備的登錄行為是否異常；若是，則確定所述網絡設備的登錄攻擊指數為所述第一目標值；若否，則確定所述網絡設備的登錄攻擊指數為所述第二目標值；

將所述通信攻擊指數和所述登錄攻擊指數的總和確定為所述網絡設備的攻擊行為指數；

若所述攻擊行為指數不小于所述預設閾值，則確定所述網絡設備為攻擊型失陷主機。

4.根據權利要求3所述的失陷主機檢測方法，其特征在于，還包括：

若所述攻擊行為指數和/或所述被攻擊行為指數小于所述預設閾值，則按照預設規則確定所述網絡設備的風險等級。

5.根據權利要求2所述的失陷主機檢測方法，其特征在于，若所述目標信息為所述進程信息、所述通信信息、所述文件信息和所述登錄信息的組合，則分別判斷所述目標信息中的每種信息是否異常，包括：

若所述進程信息中的業務信息未存儲于業務白名單，則確定所述進程信息異常；否則，確定所述進程信息正常；

若所述通信信息中的與所述網絡設備通信的目標設備的IP地址存儲于威脅IP地址庫，則確定所述通信信息異常；否則，確定所述通信信息正常；

若所述文件信息中的操作信息與所述文件信息的業務操作不對應，則確定所述文件信息異常；否則，確定所述文件信息正常；

若所述登錄信息中的登錄特征與合法用戶的登錄特征不一致，則確定所述登錄信息異常；否則，確定所述登錄信息正常。