[發明專利]異常網絡安全行為的檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202110819117.2
• 申請日: 2021-07-20
• 公開（公告）號: CN113765881A
• 公開（公告）日: 2021-12-07
• 發明（設計）人: 劉塽;覃永靖;岳朋濤;盧勇亮;王震;齊向東;吳云坤
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/17;G06F16/16
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王宇楊

1.一種異常網絡安全行為的檢測方法，其特征在于，包括：

獲取用戶的網絡安全行為對應的當前日志數據，其中，所述當前日志數據包括網絡流量日志和/或系統應用日志；

獲取網絡安全行為基線，并基于所述網絡安全行為基線對所述當前日志數據進行檢測，以確定所述用戶的網絡安全行為是否為異常網絡安全行為，其中，所述網絡安全行為基線是根據輸入的配置參數通過預設的學習周期內的網絡安全行為對應的日志數據學習得到。

2.根據權利要求1所述的異常網絡安全行為的檢測方法，其特征在于，所述配置參數包括所述學習周期、基線數據項和基線數據項學習方法，所述基線數據項包括檢測對象和檢測特征，所述檢測特征是根據檢測對象進行統計或計算確定的，所述獲取網絡安全行為基線之前，包括：

獲得所述配置參數，并獲得所述配置參數中學習周期內的網絡安全行為對應的日志數據；

根據所述基線數據項，獲得所述日志數據中的目標數據；

根據所述日志數據中的基線數據項學習方法對所述目標數據進行統計，得到所述目標數據的數量或平均值，并根據所述目標數據的數量或平均值得到所述網絡安全行為基線，其中，所述目標數據包括源IP、目的IP、用戶名和文件大小中的部分或全部。

3.根據權利要求2所述的異常網絡安全行為的檢測方法，其特征在于，所述基于所述網絡安全行為基線對所述當前日志數據進行檢測，以確定所述用戶的網絡安全行為是否為異常網絡安全行為，包括：

根據所述基線數據項，獲得所述當前日志數據中的目標數據；

將所述當前日志數據中的目標數據與所述基線進行比較；

如果所述當前日志數據中的目標數據與所述基線不匹配，則確定所述用戶的網絡安全行為是異常網絡安全行為；或者，

根據所述基線數據項，獲得預定時間內多個日志數據中的目標數據；

對所述多個日志數據中的目標數據進行統計，并將所述多個日志數據中的目標數據的統計結果與所述基線進行比較；

如果所述統計結果與所述基線不匹配，則確定所述用戶的網絡安全行為是異常網絡安全行為。

4.根據權利要求1-3任一項所述的異常網絡安全行為的檢測方法，其特征在于，在獲取網絡安全行為基線之后以及基于所述網絡安全行為基線對所述當前日志數據進行檢測之前，還包括：

接收基線修改指令，并根據所述基線修改指令調優所述網絡安全行為基線，以基于調優后的網絡安全行為基線對所述當前日志數據進行檢測。

5.根據權利要求1所述的異常網絡安全行為的檢測方法，其特征在于，在確定所述用戶的網絡安全行為是異常網絡安全行為之后，還包括：根據所述異常網絡安全行為確定出異常網絡安全行為主體，并基于所述異常網絡安全行為主體確定是否記錄所述異常網絡安全行為。

6.根據權利要求5所述的異常網絡安全行為的檢測方法，其特征在于，所述基于所述異常網絡安全行為主體確定是否記錄所述異常應為，包括：

判斷所述異常網絡安全行為主體是否與預設的白名單策略匹配；

如果否，則記錄所述異常網絡安全行為，否則丟棄所述異常網絡安全行為。

7.一種異常網絡安全行為的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取用戶的網絡安全行為對應的當前日志數據，其中，所述當前日志數據包括網絡流量日志和/或系統應用日志；

檢測模塊，用于獲取網絡安全行為基線，并基于所述網絡安全行為基線對所述當前日志數據進行檢測，以確定所述用戶的網絡安全行為是否為異常網絡安全行為，其中，所述網絡安全行為基線是根據輸入的配置參數通過預設的學習周期內的網絡安全行為對應的日志數據學習得到。

8.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現根據權利要求1～6任一項所述的異常網絡安全行為的檢測方法。