[發明專利]異常行為的預防方法、裝置、設備及存儲介質

有效

• 申請號: 202110226556.2
• 申請日: 2021-03-01
• 公開（公告）號: CN113055362B
• 公開（公告）日: 2023-03-21
• 發明（設計）人: 肖杰
• 申請（專利權）人: 深信服科技股份有限公司;水利部信息中心
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 薛福玲

1.一種異常行為的預防方法，其特征在于，所述異常行為的預防方法包括：

獲取網絡日志；

根據所述網絡日志判斷是否是目標網絡日志；

若所述網絡日志是目標網絡日志，則根據所述網絡日志確定目標IP的行為類型，其中，所述行為類型包括關聯行為類型、異常行為類型以及惡意行為類型；

根據所述行為類型得到所述目標IP的異常行為評分；

根據所述異常行為評分確定所述目標IP的危險程度；

根據所述危險程度確定對所述目標IP的預防策略，以實現對異常行為的預防；

所述根據所述行為類型得到所述目標IP的異常行為評分，包括：

根據所述行為類型更新對應的指數得分；

根據所述指數得分確定對應的加權分數；

根據所述加權分數確定所述異常行為評分，其中，所述異常行為評分=（5%*關聯加權分數+之前關聯加權分數）+（35%*異常加權分數+之前異常加權分數）+（60%*惡意加權分數+之前惡意加權分數）；

所述根據所述異常行為評分和所述目標IP對應的屬性確定所述目標IP的危險程度，包括：

根據所述異常行為評分以及所述目標IP對應的屬性確定所述目標IP在潛在迫害者列表中的排名；

根據所述排名確定所述目標IP的危險程度；

所述根據所述危險程度確定對所述目標IP的預防策略，包括：

所述危險程度為預設危險程度時，監控所述目標IP對所述目標主機的訪問行為；

當所述訪問行為為異常行為時，確定所述訪問行為對應的防御動作并采用所述防御動作進行防御。

2.如權利要求1所述的方法，其特征在于，所述根據所述網絡日志判斷是否是目標網絡日志，包括：

獲取目標主機的IP；

獲取所述網絡日志中的源IP以及目的IP；

將所述源IP以及所述目的IP與所述目標主機的IP進行匹配，以判斷所述網絡日志是否是目標網絡日志。

3.如權利要求1所述的方法，其特征在于，所述若所述網絡日志是目標網絡日志，則根據所述網絡日志確定目標IP的行為類型，包括：

若所述網絡日志是目標網絡日志，則根據所述目標網絡日志獲得所述目標IP與目標主機的交互行為；

將所述交互行為與預設行為特征進行對比，獲得對比結果；

根據所述對比結果確定所述交互行為的行為類型。

4.如權利要求1所述的方法，其特征在于，所述根據所述加權分數確定所述異常行為評分，包括：

獲取所述指數得分對應衰退加權；

根據所述衰退加權以及所述加權分數確定所述目標IP的異常行為評分。

5.如權利要求1所述的方法，其特征在于，所述根據所述異常行為評分確定所述目標IP的危險程度之前，還包括：

將所述目標IP與所述潛在迫害者列表中的列表IP進行匹配；

若匹配成功，根據所述潛在迫害者列表確定所述目標IP的出現次數；

根據所述出現次數確定所述目標IP對應的屬性；

所述根據所述異常行為評分確定所述目標IP的危險程度，包括：

根據所述異常行為評分和所述目標IP對應的屬性確定所述目標IP的危險程度。

6.如權利要求1所述的方法，其特征在于，所述根據所述異常行為評分確定所述目標IP的危險程度之前，還包括：

將所述目標IP與所述潛在迫害者列表中的列表IP進行匹配；

若所述目標IP與所述潛在迫害者列表中的列表IP匹配不成功，將所述目標IP與預設匹配庫中的預設IP進行匹配；

若所述目標IP與預設匹配庫中的預設IP匹配成功，則根據所述預設IP的標識確定所述目標IP對應的屬性；

所述根據所述異常行為評分確定所述目標IP的危險程度，包括：

根據所述異常行為評分和所述目標IP對應的屬性確定所述目標IP的危險程度。