[發明專利]多設備入侵的檢測方法、裝置、系統以及存儲介質

有效

• 申請號: 202010697621.5
• 申請日: 2020-07-20
• 公開（公告）號: CN111901326B
• 公開（公告）日: 2022-11-15
• 發明（設計）人: 陸嘉杰;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 杭州華進聯浙知識產權代理有限公司 33250
• 代理人: 蔣豹

1.一種多設備入侵的檢測方法，其特征在于，包括：

從多個防護設備中獲取防護信息，其中，所述多個防護設備中的每個防護設備之間相互隔離；

將所述防護信息中相同屬性的防護信息轉換成相同格式的待檢測數據；

分析所述待檢測數據，根據分析得到的結果確定所述多個防護設備的入侵情況；

其中，分析所述待檢測數據，根據分析得到的結果確定所述多個防護設備的入侵情況包括：采用以下至少兩種策略分析所述待檢測數據，得到對應于每個策略的決策結果，在有多個所述決策結果表現為非正常態的情況下，確定所述多個防護設備存在危險行為，其中，

采用第一策略分析所述待檢測數據包括：

獲取所述待檢測數據中的進程參數、進程服務標識以及進程加載模塊名；

判斷所述進程參數、所述進程服務標識以及所述進程加載模塊名中是否有其中任意一項命中第一策略，其中，所述第一策略用于識別所述待檢測數據攜帶的動態行為信息；

在判斷到所述進程參數、所述進程服務標識以及所述進程加載模塊名中有其中任意一項命中所述第一策略的情況下，確定對應于所述第一策略的決策結果為非正常態；

其中，所述第一策略包括三個規則，規則A1用于判斷所述進程參數中是否攜帶有IP或域名，規則A2用于依據所述進程服務標識判斷相應進程是否為高仿系統服務和/或第三方服務，規則A3用于判斷所述進程加載模塊是否為高仿系統文件模塊和/或第三方簽名模塊，若有其中任一規則判斷為是，即為命中所述第一策略；

采用第二策略分析所述待檢測數據包括：

獲取所述待檢測數據中的操作系統用戶登錄所述防護設備的時間、所述防護設備的關機時間和所述防護設備的開機時間、上傳流量和下載流量；

判斷所述操作系統用戶登錄所述防護設備的時間、所述防護設備的關機時間和所述防護設備的開機時間、所述上傳流量和下載流量中是否有其中任意一項命中第二策略，其中，所述第二策略用于識別所述待檢測數據攜帶的異常行為信息；

在判斷到所述操作系統用戶登錄所述防護設備的時間、所述防護設備的關機時間和所述防護設備的開機時間、所述上傳流量和下載流量中有其中任意一項命中所述第二策略的情況下，確定對應于所述第二策略的決策結果為非正常態；

其中，所述第二策略包括三個規則，規則B1用于判斷所述操作系統用戶登錄所述防護設備的時間是否表現為異常，規則B2用于判斷所述防護設備的關機時間和開機時間是否表現為異常，規則B3用于判斷所述上傳流量和下載流量是否超過預設閾值，若有其中任一規則判斷為是，即為命中所述第二策略；

采用第三策略分析所述待檢測數據包括：

創建包括以下至少之一的機器學習模型：隱蔽DNS隧道通信模型、WebShell后門模型以及挖礦行為模型；

根據所述機器學習模型，分析所述待檢測數據，得到對應的機器學習結果；

判斷所述機器學習結果是否命中第三策略，其中，所述第三策略用于識別所述待檢測數據攜帶的符合所述機器學習模型的特征的信息；

在判斷到所述機器學習結果命中所述第三策略的情況下，確定對應于所述第三策略的決策結果為非正常態；

其中，所述第三策略包括三個規則，規則C1用于采用隱蔽DNS隧道通信模型分析所述待檢測數據，判斷是否存在隱蔽DNS隧道通信行為，規則C2用于采用WebShell后門模型分析所述待檢測數據，判斷是否存在WebShell后門行為，規則C3用于采用挖礦行為模型分析所述待檢測數據，判斷是否存在挖礦行為，若有其中任一規則判斷為是，即為命中所述第三策略。

2.根據權利要求1所述的多設備入侵的檢測方法，其特征在于，分析所述待檢測數據，根據分析得到的結果確定所述多個防護設備的入侵情況包括：

采用至少一種策略分析所述待檢測數據，得到對應于每個策略的決策結果；

在所述決策結果中有多個決策結果表現為非正常態的情況下，確定所述多個防護設備存在危險行為。

3.根據權利要求1所述的多設備入侵的檢測方法，其特征在于，在分析所述待檢測數據，根據分析得到的結果確定所述多個防護設備的入侵情況之后，所述方法還包括：

根據表現為非正常態的決策結果，從對應的待檢測數據中獲取入侵威脅指標數據，其中，所述入侵威脅指標數據包括以下至少之一：IP、域名、HASH值；

將所述入侵威脅指標數據發送至所述多個防護設備。