[發(fā)明專利]物聯(lián)網(wǎng)惡意攻擊行為處理方法、裝置及系統(tǒng)

在審

• 申請(qǐng)?zhí)枺?/td>: 202110496522.5
• 申請(qǐng)日: 2021-05-07
• 公開（公告）號(hào): CN112989350A
• 公開（公告）日: 2021-06-18
• 發(fā)明（設(shè)計(jì)）人: 王濱;陳加棟;陳達(dá);林克章;王星;陳逸愷;蔡常青;殷麗華;李超
• 申請(qǐng)（專利權(quán)）人: 杭州海康威視數(shù)字技術(shù)股份有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G16Y30/10
• 代理公司: 北京博思佳知識(shí)產(chǎn)權(quán)代理有限公司 11415
• 代理人: 楊春香

1.一種物聯(lián)網(wǎng)惡意攻擊行為處理方法，其特征在于，應(yīng)用于包括物聯(lián)網(wǎng)終端以及安全管理中心平臺(tái)的物聯(lián)網(wǎng)安全系統(tǒng)，所述物聯(lián)網(wǎng)終端中安裝有安全管控軟件開發(fā)工具包SDK，所述方法包括：

物聯(lián)網(wǎng)終端通過安全管控SDK對(duì)應(yīng)用程序的行為進(jìn)行監(jiān)控，以得到應(yīng)用程序行為監(jiān)控信息；

所述物聯(lián)網(wǎng)終端通過安全管控SDK依據(jù)安全策略信息，對(duì)所述應(yīng)用程序行為監(jiān)控信息進(jìn)行分析；

當(dāng)所述物聯(lián)網(wǎng)終端確定目標(biāo)應(yīng)用程序的行為為疑似惡意攻擊行為時(shí)，通過所述安全管控SDK將所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息上報(bào)至所述安全管理中心平臺(tái)，由所述安全管理中心平臺(tái)對(duì)所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息進(jìn)行異常分析；

當(dāng)所述物聯(lián)網(wǎng)終端確定目標(biāo)應(yīng)用程序的行為為惡意攻擊行為時(shí)，通過所述安全管控SDK對(duì)所述目標(biāo)應(yīng)用程序的行為進(jìn)行阻斷，并向所述安全管理中心平臺(tái)進(jìn)行報(bào)警。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述物聯(lián)網(wǎng)終端通過安全管控SDK依據(jù)安全策略信息，對(duì)所述應(yīng)用程序行為監(jiān)控信息進(jìn)行分析，包括：

所述物聯(lián)網(wǎng)終端通過安全管控SDK依據(jù)目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息，查詢所述安全策略信息；所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息包括所述目標(biāo)應(yīng)用程序的至少兩個(gè)行為；

當(dāng)所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息部分命中所述安全策略信息中的黑名單時(shí)，確定所述目標(biāo)應(yīng)用程序的行為為疑似惡意攻擊行為；

當(dāng)所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息全部命中所述安全策略信息中的黑名單時(shí)，確定所述目標(biāo)應(yīng)用程序的行為為惡意攻擊行為。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述物聯(lián)網(wǎng)終端通過安全管控SDK依據(jù)目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息，查詢所述安全策略信息，包括：

所述物聯(lián)網(wǎng)終端通過安全管控SDK依據(jù)所述目標(biāo)應(yīng)用程序相互組合和關(guān)聯(lián)的多個(gè)行為，查詢所述安全策略信息，以確定所述目標(biāo)應(yīng)用程序相互組合和關(guān)聯(lián)的多個(gè)行為，與預(yù)先配置的多個(gè)相互組合和關(guān)聯(lián)的安全策略中的黑名單的匹配結(jié)果；

當(dāng)所述目標(biāo)應(yīng)用程序相互組合和關(guān)聯(lián)的多個(gè)行為，均與預(yù)先配置的多個(gè)相互組合和關(guān)聯(lián)的安全策略中的黑名單匹配時(shí)，確定所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息全部命中所述安全策略信息中的黑名單；

當(dāng)所述目標(biāo)應(yīng)用程序相互組合和關(guān)聯(lián)的多個(gè)行為中的部分行為，與預(yù)先配置的多個(gè)相互組合和關(guān)聯(lián)的安全策略中的黑名單匹配時(shí)，確定所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息部分命中所述安全策略信息中的黑名單。

4.根據(jù)權(quán)利要求1~3任一項(xiàng)所述的方法，其特征在于，所述方法還包括：

所述安全管理中心平臺(tái)依據(jù)接收到的應(yīng)用程序行為監(jiān)控信息或報(bào)警信息確定所述目標(biāo)應(yīng)用程序的行為的威脅等級(jí)；

當(dāng)所述安全管理中心平臺(tái)確定所述目標(biāo)應(yīng)用程序的行為的威脅等級(jí)達(dá)到預(yù)設(shè)等級(jí)時(shí)，向所述物聯(lián)網(wǎng)終端連接的交換機(jī)或路由器發(fā)送斷網(wǎng)控制指令，以控制所述物聯(lián)網(wǎng)終端連接的交換機(jī)或路由器對(duì)所述物聯(lián)網(wǎng)終端進(jìn)行斷網(wǎng)。

5.根據(jù)權(quán)利要求1~3任一項(xiàng)所述的方法，其特征在于，所述物聯(lián)網(wǎng)終端通過所述安全管控SDK將所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息上報(bào)至所述安全管理中心平臺(tái)之后，還包括：

當(dāng)所述安全管理中心平臺(tái)依據(jù)接收到的所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息確定所述目標(biāo)應(yīng)用程序的行為為惡意攻擊行為時(shí)，依據(jù)接收到的所述目標(biāo)應(yīng)用程序的應(yīng)用程序行為監(jiān)控信息更新所述安全策略信息。