[發明專利]異常進程檢測方法及裝置、電子設備和存儲介質

在審

• 申請號: 202111661510.X
• 申請日: 2021-12-31
• 公開（公告）號: CN114357449A
• 公開（公告）日: 2022-04-15
• 發明（設計）人: 鄧博仁;汪來富;張靜靜;劉東鑫;史國水
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京律智知識產權代理有限公司 11438
• 代理人: 王輝;闞梓瑄

本公開是關于一種異常進程檢測方法及裝置、電子設備以及計算機可讀存儲介質，涉及網絡與信息安全技術領域。該方法包括：獲取待分析進程的進程執行信息；進程執行信息包括進程基本信息、執行命令信息與執行用戶信息；根據進程基本信息構建進程集合；進程集合包含多個進程之間的進程層次關系；根據執行命令信息與進程層次關系確定命令關系集合，并確定命令關系集合對應的命令關系特征值；根據執行用戶信息與進程層次關系對進程集合確定用戶關系集合，并確定用戶關系集合對應的用戶關系特征值；將命令關系特征值與用戶關系特征值分別與特征對比參考值進行對比，以確定異常進程信息。本公開可以實現對主機中異常進程的檢測與告警。

技術領域

本公開涉及網絡與信息安全技術領域，具體而言，涉及一種異常進程檢測方法、異常進程檢測裝置、電子設備以及計算機可讀存儲介質。

背景技術

隨著計算機技術的快速發展，大數據、分布式、區塊鏈等各類技術已經滲透至各行各業。在各個行業的技術應用中，安全是所有網絡面臨的最大問題。為避免黑客和入侵者入侵網絡及網站，一般企業通常提前部署入侵檢測系統。

目前，主機異常行為檢測分析領域主要包括：基于網絡的入侵檢測和基于主機的入侵檢測系統兩類技術方案，相關技術通?；诮y計或規則匹配技術，通過協議分析和行為分析方式實現對入侵行為的檢測，不過無法實現對加密流量的檢測分析，且較依賴異常規則庫。

需要說明的是，在上述背景技術部分公開的信息僅用于加強對本公開的背景的理解，因此可以包括不構成對本領域普通技術人員已知的現有技術的信息。

發明內容

本公開的目的在于提供一種異常進程檢測方法、異常進程檢測裝置、電子設備以及計算機可讀存儲介質，進而至少在一定程度上克服現有的主機入侵檢測方案存在滯后性或無法實現對未知行為的檢測和告警的問題。

本公開的其他特性和優點將通過下面的詳細描述變得顯然，或部分地通過本發明的實踐而習得。

根據本公開的第一方面，提供一種異常進程檢測方法，包括：獲取待分析進程的進程執行信息；進程執行信息包括進程基本信息、執行命令信息與執行用戶信息；根據進程基本信息構建進程集合；進程集合包含多個進程之間的進程層次關系；根據執行命令信息與進程層次關系對進程集合進行結構調整，得到命令關系集合，并確定命令關系集合對應的命令關系特征值；根據執行用戶信息與進程層次關系對進程集合進行結構調整，得到用戶關系集合，并確定用戶關系集合對應的用戶關系特征值；獲取預先確定的特征對比參考值，將命令關系特征值與用戶關系特征值分別與特征對比參考值進行對比，以確定異常進程信息。

在本公開的一種示例性實施方案中，特征對比參考值包括命令關系參考特征值與用戶關系參考特征值，上述方法還包括：獲取歷史進程數據，根據歷史進程數據生成樣本進程數據集；樣本進程數據集包括多個樣本進程的執行信息；執行信息包括樣本進程基本信息、樣本進程命令信息與樣本進程用戶信息；根據樣本進程基本信息構建樣本進程集合；樣本進程集合包含多個樣本進程之間的樣本進程層次關系；根據樣本進程命令信息與樣本進程層次關系對樣本進程集合進行結構調整，得到樣本進程命令集合，并確定樣本進程命令集合對應的命令關系參考特征值；根據樣本進程用戶信息與樣本進程層次關系對樣本進程集合進行結構調整，得到樣本進程用戶集合，并確定樣本進程用戶集合對應的用戶關系參考特征值。

在本公開的一種示例性實施方案中，樣本進程命令信息包括進程類型映射表；樣本進程集合采用樹形結構存儲；根據樣本進程命令信息與樣本進程層次關系對樣本進程集合進行結構調整，得到樣本進程命令集合，并確定樣本進程命令集合對應的命令關系參考特征值，包括：根據進程類型映射表與樣本進程層次關系確定第一待合并節點；第一待合并節點為具有父子關系且屬于同一命令類型的進程節點；對第一待合并節點進行合并處理，根據經過合并處理的進程節點調整樣本進程集合對應的樹形結構，以生成樣本進程命令集合對應的命令關系樹；根據命令關系樹確定命令關系參考特征值。