[發明專利]云主機的威脅檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202111581730.1
• 申請日: 2021-12-22
• 公開（公告）號: CN114238961A
• 公開（公告）日: 2022-03-25
• 發明（設計）人: 劉佳男;王昆明;李柏松;肖新光
• 申請（專利權）人: 安天科技集團股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京格允知識產權代理有限公司 11609
• 代理人: 張莉瑜

1.一種云主機的威脅檢測方法，其特征在于，包括：

獲取待檢測的云主機的狀態特征信息；

基于獲取的所述狀態特征信息，在系統特征庫中進行查找，識別待檢測的云主機的操作系統種類；

基于識別到的操作系統種類，在檢測方案庫中進行查找，確定檢測方案；

基于獲取的所述狀態特征信息，在基線檢測數據庫中進行查找，確定基線檢測數據；

根據確定的檢測方案及用戶輸入指令，對獲取的所述狀態特征信息與基線檢測數據進行對比分析，判定是否出現異常，并生成檢測結果；

基于所述檢測結果，發布告警通知。

2.根據權利要求1所述的方法，其特征在于，還包括：

在所述基于獲取的所述狀態特征信息，在系統特征庫中進行查找之前，獲取多種云主機的操作系統判定特征，構建系統特征庫。

3.根據權利要求1所述的方法，其特征在于，還包括：

在所述基于識別到的操作系統種類，在檢測方案庫中進行查找之前，獲取多種適用于云主機操作系統的檢測方案，根據適用條件分類，構建檢測方案庫；其中，適用條件至少包括適用的操作系統種類。

4.根據權利要求1所述的方法，其特征在于，還包括：

在所述基于獲取的所述狀態特征信息，在基線檢測數據庫中進行查找之前，獲取多種云主機關鍵狀態的正常狀態信息，構建基線檢測數據庫，并存儲在本地計算機；其中，關鍵狀態包括創建完成初始時刻狀態、業務應用部署完成時刻狀態及指定保存時刻狀態。

5.根據權利要求4所述的方法，其特征在于，

正常狀態信息包括云主機系統基本特征、運行特征、日志特征、進程特征及網絡特征中的一種或多種。

6.根據權利要求1所述的方法，其特征在于，

所述根據確定的檢測方案及用戶輸入指令，對獲取的所述狀態特征信息與基線檢測數據進行對比分析，判定是否出現異常，并生成檢測結果，包括：

根據確定的檢測方案及用戶輸入指令，選擇執行完全匹配模式或部分匹配模式；

完全匹配模式下，根據確定的檢測方案，從獲取的所述狀態特征信息與基線檢測數據中提取并比對特征項，當且僅當提取的各項特征比對結果均完全相同，則判定未出現異常，否則判定為出現異常，并確定異常特征項；

部分匹配模式下，根據確定的檢測方案，從獲取的所述狀態特征信息與基線檢測數據中提取并比對特征項，所述特征項分為基本特征項和附加特征項，若滿足基本特征項比對結果相同，且附加特征項比對結果滿足檢測規則，則判定未出現異常，否則判定為出現異常，并確定異常特征項；

生成檢測結果，所述檢測結果包括顯示出現異常或未出現異常的標簽，若標簽為出現異常，則所述檢測結果還包括異常特征項。

7.根據權利要求1所述的方法，其特征在于，

基于所述檢測結果，發布告警通知，包括：

根據所述檢測結果生成告警通知；

基于預設的通信地址，將生成的所述告警通知發送至對應的通信終端。

8.一種云主機的威脅檢測裝置，其特征在于，包括：

信息提取模塊，用于獲取待檢測的云主機的狀態特征信息；

系統判定模塊，用于基于獲取的所述狀態特征信息，在系統特征庫中進行查找，識別待檢測的云主機的操作系統種類；

數據分析模塊，用于基于識別到的操作系統種類，在檢測方案庫中進行查找，確定檢測方案；

基于獲取的所述狀態特征信息，在基線檢測數據庫中進行查找，確定基線檢測數據；

以及，根據確定的檢測方案及用戶輸入指令，對獲取的所述狀態特征信息與基線檢測數據進行對比分析，判定是否出現異常，并生成檢測結果；

告警通知模塊，用于基于所述檢測結果，發布告警通知。

9.一種電子設備，包括存儲器和處理器，所述存儲器中存儲有計算機程序，其特征在于，所述處理器執行所述計算機程序時，實現如權利要求1-7中任一項所述的方法。

10.一種存儲介質，其上存儲有計算機程序，其特征在于，當所述計算機程序在計算機中執行時，令計算機執行權利要求1-7中任一項所述的方法。