[發明專利]安全防護產品的防御性評估方法、裝置、設備及介質

有效

• 申請號: 202110940596.3
• 申請日: 2021-08-17
• 公開（公告）號: CN113642005B
• 公開（公告）日: 2023-07-21
• 發明（設計）人: 佟勇;黃磊;童志明;肖新光
• 申請（專利權）人: 安天科技集團股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/53
• 代理公司: 北京格允知識產權代理有限公司 11609
• 代理人: 張莉瑜

1.一種安全防護產品的防御性評估方法，其特征在于，包括：

獲取威脅情報與待防護的工業互聯網設備的操作系統；

基于獲取的每一操作系統，均生成一對應的虛擬機，每一虛擬機用于虛擬運行對應工業互聯網設備的操作系統；

在相應的虛擬機中和/或各虛擬機之間設置待評估的安全防護產品，并獲取安全防護產品的檢測結果；

獲取各工業互聯網設備的行為記錄數據；

基于威脅情報、各工業互聯網設備的行為記錄數據，確定惡意代碼在工業互聯網設備之間的攻擊路徑；

基于威脅情報、各工業互聯網設備的行為記錄數據，以及惡意代碼在工業互聯網設備之間的攻擊路徑，確定攻擊者身份和攻擊意圖；

基于威脅情報、各工業互聯網設備的行為記錄數據、惡意代碼在工業互聯網設備之間的攻擊路徑、攻擊者身份和攻擊意圖，與所述檢測結果進行對比，對安全防護產品的防御性進行評估。

2.根據權利要求1所述的方法，其特征在于，

獲取各工業互聯網設備的行為記錄數據，包括：

基于各虛擬機，獲取對應的工業互聯網設備內部的指令行為數據、調用行為數據及觸發行為數據；

獲取各工業互聯網設備之間的網絡行為數據，包括五元組數據、檢測報文數據和網絡文件數據；

對獲取的行為數據的威脅程度進行分析；

基于行為數據的威脅程度，對獲取的行為數據進行降維處理，剔除威脅程度偏低的行為數據，得到降維處理后的各工業互聯網設備的行為記錄數據。

3.根據權利要求2所述的方法，其特征在于，

所述對獲取的行為數據的威脅程度進行分析，包括：

基于威脅情報，對工業互聯網設備內部的指令行為數據、調用行為數據及觸發行為數據的威脅程度進行判定；

對網絡文件數據進行靜態分析，基于靜態分析結果，對各工業互聯網設備之間的網絡行為數據的威脅程度進行判定。

4.根據權利要求2所述的方法，其特征在于，

所述基于威脅情報、各工業互聯網設備的行為記錄數據，確定惡意代碼在工業互聯網設備之間的攻擊路徑，包括：

基于降維處理后的各工業互聯網設備的行為記錄數據，將涉及相同的文件、網絡、進程和/或資源的行為進行關聯；

基于行為記錄的時間順序，對關聯后的行為進行排序，得到行為序列；

基于威脅情報和得到的行為序列，確定惡意代碼在工業互聯網設備之間的攻擊路徑。

5.根據權利要求4所述的方法，其特征在于，

所述基于威脅情報和得到的行為序列，確定惡意代碼在工業互聯網設備之間的攻擊路徑，包括：

基于威脅情報對得到的行為序列進行篩選，剔除威脅度低的行為序列；

基于篩選后的行為序列，構建概率攻擊圖；其中，概率攻擊圖中的每一個節點對應一個工業互聯網設備，每一個邊對應一個攻擊行為與該攻擊行為發生的概率；

基于概率攻擊圖，確定惡意代碼在工業互聯網設備之間的攻擊路徑。

6.根據權利要求1所述的方法，其特征在于，

所述基于威脅情報、各工業互聯網設備的行為記錄數據、惡意代碼在工業互聯網設備之間的攻擊路徑、攻擊者身份和攻擊意圖，與所述檢測結果進行對比，對安全防護產品的防御性進行評估，包括：

基于威脅情報、各工業互聯網設備的行為記錄數據、惡意代碼在工業互聯網設備之間的攻擊路徑，確定檢測結果未能檢測到的漏檢行為；

基于漏檢行為對應的行為記錄數據、攻擊路徑、攻擊者身份和攻擊意圖，進行戰損評價；

基于戰損評價結果，對相應的安全防護產品的防御性進行評估。