[發明專利]網絡攻擊行為檢測方法、裝置、計算機設備和系統

有效

• 申請號: 202110141837.8
• 申請日: 2021-02-02
• 公開（公告）號: CN112910895B
• 公開（公告）日: 2022-11-15
• 發明（設計）人: 鄭云超;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 杭州華進聯浙知識產權代理有限公司 33250
• 代理人: 范麗霞

1.一種網絡攻擊行為檢測方法，其特征在于，包括：

獲取基礎行為數據；

執行攻擊行為檢測，所述攻擊行為檢測為根據防護中心下發的檢測規則檢測所述基礎行為數據；

當檢測到攻擊行為后，獲取攻擊行為數據并上傳至防護中心，以使所述防護中心根據所述攻擊行為數據實時更新所述檢測規則；

基于更新后的檢測規則轉至執行攻擊行為檢測步驟；

所述基礎行為數據包括標識信息，則當檢測到攻擊行為后，獲取攻擊行為數據并上傳至防護中心，以使所述防護中心根據所述攻擊行為數據實時更新所述檢測規則包括：

獲取防護中心下發的攻擊行為鏈查詢指令；

基于所述攻擊行為鏈查詢指令在所述基礎行為數據中查詢攻擊行為以及所述攻擊行為的標識信息；

基于所述攻擊行為的標識信息在所述基礎行為數據中查詢與所述攻擊行為對應的上游行為和下游行為；

根據所述攻擊行為、對應的上游行為和下游行為形成攻擊行為鏈并上傳至所述防護中心，以使所述防護中心根據所述攻擊行為鏈實時更新所述檢測規則。

2.根據權利要求1所述的網絡攻擊行為檢測方法，其特征在于，所述基礎行為數據包括文件操作、進程操作、注冊表操作、網絡連接操作和服務修改操作產生的行為數據。

3.根據權利要求1所述的網絡攻擊行為檢測方法，其特征在于，獲取基礎行為數據之后，還包括：

存儲所述基礎行為數據，并在預設時間周期內對已存儲的基礎行為數據進行清理。

4.根據權利要求1所述的網絡攻擊行為檢測方法，其特征在于，所述標識信息包括對應于當前行為的當前行為標識、對應于當前行為的上游行為的上游行為標識和對應于所述當前行為的下游行為的下游行為標識，則基于所述標識信息在所述基礎行為數據中查詢與所述攻擊行為對應的上游行為和下游行為包括：

基于所述攻擊行為的標識信息獲取當前行為標識、上游行為標識和下游行為標識；

根據所述上游行為標識在所述基礎行為數據中查詢與所述攻擊行為對應的上游行為；

根據所述下游行為標識在所述基礎行為數據中查詢與所述攻擊行為對應的下游行為。

5.一種網絡攻擊行為檢測方法，其特征在于，包括：

向防護終端下發檢測規則，以使所述防護終端根據所述檢測規則執行攻擊行為檢測；

當防護終端檢測到攻擊行為后，接收所述防護終端發送的攻擊行為數據；

根據所述攻擊行為數據實時更新所述檢測規則，以使所述防護終端基于更新后的檢測規則執行攻擊行為檢測步驟；

根據所述攻擊行為數據實時更新所述檢測規則包括：

向所述防護終端下發攻擊行為鏈查詢指令；

獲取基于所述攻擊行為鏈查詢指令返回的攻擊行為鏈；所述攻擊行為鏈包括當前行為、上游行為和下游行為；

根據所述當前行為、上游行為和下游行為實時更新所述檢測規則；其中，更新所述檢測規則包括新增和修改。

6.一種網絡攻擊行為檢測裝置，其特征在于，包括：

數據獲取單元，用于獲取基礎行為數據；

檢測單元，用于執行攻擊行為檢測，所述攻擊行為檢測為根據防護中心下發的檢測規則檢測所述基礎行為數據；

攻擊行為數據上傳單元，用于當檢測到攻擊行為后，獲取攻擊行為數據并上傳至防護中心，以使所述防護中心根據所述攻擊行為數據實時更新所述檢測規則；

循環單元，用于基于更新后的檢測規則轉至執行攻擊行為檢測步驟；

所述基礎行為數據包括標識信息，所述攻擊行為數據上傳單元還用于獲取防護中心下發的攻擊行為鏈查詢指令；

基于所述攻擊行為鏈查詢指令在所述基礎行為數據中查詢攻擊行為以及所述攻擊行為的標識信息；

基于所述攻擊行為的標識信息在所述基礎行為數據中查詢與所述攻擊行為對應的上游行為和下游行為；

根據所述攻擊行為、對應的上游行為和下游行為形成攻擊行為鏈并上傳至所述防護中心，以使所述防護中心根據所述攻擊行為鏈實時更新所述檢測規則。