[發明專利]一種失陷主機檢測方法、裝置、設備及可讀存儲介質

有效

• 申請號: 201911076453.1
• 申請日: 2019-11-06
• 公開（公告）號: CN110830470B
• 公開（公告）日: 2022-02-01
• 發明（設計）人: 李華生;吳相東
• 申請（專利權）人: 杭州安恒信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王云曉

本申請公開了一種失陷主機檢測方法、裝置、設備及可讀存儲介質。本申請公開的方法包括：獲取網絡設備中的目標信息，所述目標信息為進程信息、通信信息、文件信息和登錄信息中的至少兩種的組合；判斷所述目標信息是否異常；若是，則根據異常信息確定所述網絡設備的異常行為指數，若所述異常行為指數不小于預設閾值，則確定所述網絡設備為失陷主機。本申請基于多維度信息分析網絡設備的異常行為指數，提高了檢測結果的全面性和準確性，并能夠在網絡設備成為失陷主機之前對其檢測，可避免更大規模網絡安全事件的發生，能夠網絡安全性和可靠性。相應地，本申請公開的一種失陷主機檢測裝置、設備及可讀存儲介質，也同樣具有上述技術效果。

技術領域

本申請涉及網絡安全技術領域，特別涉及一種失陷主機檢測方法、裝置、設備及可讀存儲介質。

背景技術

失陷主機指的是內網中已被攻擊者成功入侵并被遠程控制或者有惡意行為產生的主機。伴隨著高級病毒的發展，失陷主機受控或發起惡意行為往往難尋規律、隱蔽性極強，以致部分失陷主機難以被感知。

現有技術通?；谝阎《净蛘咭阎獝阂饬髁看_定失陷主機，且整個流程僅針對失陷主機的單一維度數據進行分析，具有一定的片面性，存在漏報、錯報事件，因此檢測結果的準確性低，還可能失去提前發現問題和解決問題的機會，導致引發更大規模的網絡安全事件。

因此，如何提高失陷主機檢測結果的準確性，是本領域技術人員需要解決的問題。

發明內容

有鑒于此，本申請的目的在于提供一種失陷主機檢測方法、裝置、設備及可讀存儲介質，以提高IP地址的報備效率和準確性。其具體方案如下：

第一方面，本申請提供了一種失陷主機檢測方法，包括：

獲取網絡設備中的目標信息，目標信息為進程信息、通信信息、文件信息和登錄信息中的至少兩種的組合；

判斷目標信息是否異常；

若是，則根據異常信息確定網絡設備的異常行為指數，若異常行為指數不小于預設閾值，則確定網絡設備為失陷主機。

優選地，判斷目標信息是否異常，包括：

分別判斷目標信息中的每種信息是否異常；

若目標信息中存在異常信息，則確定目標信息異常；否則，確定目標信息正常。

優選地，根據異常信息確定網絡設備的異常行為指數，包括：

若目標信息中包括進程信息和/或文件信息，則將進程信息和/或文件信息中任一種信息確定為第一信息；若第一信息為異常信息，則利用殺毒軟件對第一信息進行查殺；若發現病毒，則確定第一信息的第一被攻擊指數為第一目標值；若未發現病毒，則確定第一信息的第一被攻擊指數為第二目標值；第一目標值不小于預設閾值，第二目標值小于預設閾值；

若目標信息中包括通信信息和/或登錄信息，則將通信信息和/或登錄信息中任一種信息確定為第二信息；若第二信息為異常信息，則判斷第二信息對應的IP地址是否為惡意IP地址；若IP地址為惡意IP地址，則確定第二信息的第二被攻擊指數為第一目標值；若IP地址不是惡意IP地址，則確定第二信息的第二被攻擊指數為第二目標值；

將第一被攻擊指數與第二被攻擊指數的總和確定為被攻擊行為指數，將被攻擊行為指數確定為異常行為指數。

優選地，若異常行為指數不小于預設閾值，則確定網絡設備為失陷主機之后，還包括：

若第二信息為通信信息，則根據通信信息判斷與網絡設備通信的目標設備的IP地址是否為內網IP地址；若是，則判斷進程信息中記錄的網絡設備對目標設備發起的進程是否異常；若是，則確定網絡設備的通信攻擊指數為第一目標值；若否，則確定網絡設備的通信攻擊指數為第二目標值；