[發(fā)明專利]異常行為識(shí)別系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010551673.1
• 申請(qǐng)日: 2020-06-17
• 公開(kāi)（公告）號(hào): CN111510463B
• 公開(kāi)（公告）日: 2020-12-18
• 發(fā)明（設(shè)計(jì)）人: 吳強(qiáng)
• 申請(qǐng)（專利權(quán)）人: 浙江齊治科技股份有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06
• 代理公司: 杭州橙知果專利代理事務(wù)所(特殊普通合伙) 33261
• 代理人: 杜放

1.異常行為識(shí)別系統(tǒng)，其特征在于：該系統(tǒng)包括數(shù)據(jù)采集層和行為分析引擎，數(shù)據(jù)采集層收集所有被授權(quán)的行為數(shù)據(jù)，收集數(shù)據(jù)中心所有的服務(wù)端賬號(hào)，和資產(chǎn)數(shù)據(jù)以及資產(chǎn)數(shù)據(jù)的變化；以被授權(quán)的行為數(shù)據(jù)建立白名單，被授權(quán)的行為包含：允許某責(zé)任人以某組賬號(hào)密碼在什么時(shí)間登陸某臺(tái)設(shè)備進(jìn)行操作，以資產(chǎn)數(shù)據(jù)的變化作為異常事件，數(shù)據(jù)采集層的數(shù)據(jù)匯總于行為分析引擎，行為分析引擎將每一個(gè)異常事件與白名單對(duì)比，判斷異常事件的內(nèi)容是否屬于白名單，若不屬于白名單，則該異常事件標(biāo)記為異常行為；行為分析引擎只對(duì)異常行為報(bào)警。

2.如權(quán)利要求1所述的異常行為識(shí)別系統(tǒng)，其特征在于：行為分析引擎針對(duì)每一個(gè)異常事件，判斷該異常事件是否具有身份認(rèn)證信息，若是，則判斷該身份認(rèn)證信息是否屬于白名單，若否，則該異常事件視為異常行為。

3.如權(quán)利要求2所述的異常行為識(shí)別系統(tǒng)，其特征在于：若該異常事件通過(guò)身份認(rèn)證，則獲得該異常事件對(duì)應(yīng)的服務(wù)端賬號(hào)，判斷異常事件的服務(wù)端賬號(hào)是否屬于白名單，若否，則該異常事件視為異常行為。

4.如權(quán)利要求3所述的異常行為識(shí)別系統(tǒng)，其特征在于：判斷服務(wù)端賬號(hào)是否屬于白名單時(shí)，先獲取服務(wù)端賬號(hào)的賬號(hào)-密碼，若服務(wù)端賬號(hào)的賬號(hào)-密碼不屬于白名單，則認(rèn)為是異常行為；若服務(wù)端賬號(hào)的賬號(hào)-密碼屬于白名單，則判斷該賬號(hào)的實(shí)際使用時(shí)間是否與服務(wù)端賬號(hào)的操作權(quán)限一致，若不一致，則認(rèn)為是異常行為。

5.如權(quán)利要求4所述的異常行為識(shí)別系統(tǒng)，其特征在于：若異常事件是經(jīng)過(guò)身份認(rèn)證、并使用白名單內(nèi)的服務(wù)端賬號(hào)在允許的時(shí)間內(nèi)登錄，則判斷該異常事件對(duì)應(yīng)操作指令是否屬于白名單，若否，則該異常事件視為異常行為。

6.如權(quán)利要求1所述的異常行為識(shí)別系統(tǒng)，其特征在于：數(shù)據(jù)采集層包括堡壘機(jī)，賬號(hào)維護(hù)系統(tǒng)和資產(chǎn)數(shù)據(jù)中臺(tái)，堡壘機(jī)中的操作權(quán)限和操作日志屬于被授權(quán)的行為；賬號(hào)維護(hù)系統(tǒng)收集數(shù)據(jù)中心所有的服務(wù)端賬號(hào)并更新堡壘機(jī)中的服務(wù)端賬號(hào)，資產(chǎn)數(shù)據(jù)中臺(tái)獲取資產(chǎn)數(shù)據(jù)以及資產(chǎn)數(shù)據(jù)的變化；資產(chǎn)數(shù)據(jù)中臺(tái)從堡壘機(jī)或賬號(hào)維護(hù)系統(tǒng)獲取服務(wù)端賬號(hào)。

7.如權(quán)利要求6所述的異常行為識(shí)別系統(tǒng)，其特征在于：賬號(hào)維護(hù)系統(tǒng)包括數(shù)據(jù)采集器，數(shù)據(jù)采集器定時(shí)登錄服務(wù)端、并在服務(wù)端的操作系統(tǒng)內(nèi)搜索賬號(hào)的存放位置，再獲取該服務(wù)端上的所有賬號(hào)；自動(dòng)增加新出現(xiàn)的服務(wù)端賬號(hào)；數(shù)據(jù)采集器定時(shí)對(duì)所有賬號(hào)自動(dòng)修改密碼。

8.如權(quán)利要求7所述的異常行為識(shí)別系統(tǒng)，其特征在于：數(shù)據(jù)采集器搜尋操作系統(tǒng)的賬號(hào)存放位置，獲取能夠登錄操作系統(tǒng)的所有賬號(hào)。

9.如權(quán)利要求7或8所述的異常行為識(shí)別系統(tǒng)，其特征在于：賬號(hào)維護(hù)系統(tǒng)的數(shù)據(jù)采集器獲取服務(wù)端的操作系統(tǒng)賬號(hào)，數(shù)據(jù)采集器以操作系統(tǒng)賬號(hào)遠(yuǎn)程登錄服務(wù)端，登錄后、探測(cè)該操作系統(tǒng)的進(jìn)程，以進(jìn)程對(duì)應(yīng)應(yīng)用，再搜尋應(yīng)用的賬號(hào)存放位置，獲取操作系統(tǒng)的所有賬號(hào)。

10.如權(quán)利要求6所述的異常行為識(shí)別系統(tǒng)，其特征在于：資產(chǎn)數(shù)據(jù)中臺(tái)包括資產(chǎn)采集層和資產(chǎn)數(shù)據(jù)層，資產(chǎn)采集層定時(shí)從服務(wù)端、搜索并獲取目標(biāo)數(shù)據(jù)，資產(chǎn)數(shù)據(jù)中臺(tái)配置有安全基線，安全基線為最近一次被授權(quán)的行為數(shù)據(jù)，當(dāng)前采集的數(shù)據(jù)與安全基線出現(xiàn)的變化作為異常事件。

11.如權(quán)利要求10所述的異常行為識(shí)別系統(tǒng)，其特征在于：資產(chǎn)采集層定時(shí)通過(guò)服務(wù)端賬號(hào)登錄操作系統(tǒng)進(jìn)行數(shù)據(jù)搜索和采集；資產(chǎn)采集層內(nèi)配置有服務(wù)端賬號(hào)集合，資產(chǎn)采集層定時(shí)自動(dòng)化采集數(shù)據(jù)。

12.如權(quán)利要求10所述的異常行為識(shí)別系統(tǒng)，其特征在于：資產(chǎn)數(shù)據(jù)中臺(tái)具有探測(cè)模塊，探測(cè)模塊基于已登錄的服務(wù)端發(fā)現(xiàn)與當(dāng)前服務(wù)端有連接的新資產(chǎn)。