[发明专利]基于多维度的可疑终端设备检测方法及系统

权利要求书

1.一种基于多维度的可疑终端设备检测方法，其特征在于，包括：

通过流量数据获取安全事件日志，并根据设备IP地址信息和源端口信息，将待检测终端设备的终端进程数据和对应的安全事件日志进行关联，得到关联数据；

通过预设进程白名单规则，对所述关联数据进行判断，若判断获知所述关联数据为可疑进程，则根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备；

所述通过预设进程白名单规则，对所述关联数据进行判断，包括：

根据所述设备IP地址信息和所述源端口信息，获取所述关联数据对应的终端设备进程名；

根据所述预设进程白名单规则中的历史终端设备进程名，对所述终端设备进程名进行匹配，其中，所述历史终端设备进程名包括常规进程名和可疑进程名；

若所述终端设备进程名的匹配结果为可疑进程名，则判断所述关联数据为可疑进程；若所述终端设备进程名的匹配结果为常规进程名，则判断所述关联数据对应的安全事件为误报事件。

2.根据权利要求1所述的基于多维度的可疑终端设备检测方法，其特征在于，所述预设进程白名单规则中还包括历史进程MD5值，以根据所述历史终端设备进程名和所述历史进程MD5值，对所述关联数据对应的终端设备进程名和MD5值进行匹配，得到匹配结果。

3.根据权利要求2所述的基于多维度的可疑终端设备检测方法，其特征在于，所述根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备，包括：

将所述关联数据的终端设备进程名、设备IP地址信息和MD5值在病毒数据中进行匹配，若匹配到所述病毒数据中对应的病毒日志，则判断获知所述关联数据对应的待检测终端设备为高风险设备。

4.根据权利要求3所述的基于多维度的可疑终端设备检测方法，其特征在于，所述将所述关联数据的终端设备进程名、设备IP地址信息和MD5值在病毒数据中进行匹配，还包括：

若所述关联数据和所述病毒数据未匹配成功，则将所述关联数据进行标记，以用于进行设备异常判断，若所述待检测终端设备存在异常，则生成对应的设备异常信息，同时更新进程白名单及对应的病毒库。

5.根据权利要求1所述的基于多维度的可疑终端设备检测方法，其特征在于，所述方法还包括：

根据历史威胁流量数据的源IP地址信息和源端口信息，获取终端设备的风险值，并按照风险值从高到低的顺序对终端设备进行检测。

6.一种基于多维度的可疑终端设备检测系统，其特征在于，包括：

关联模块，用于通过流量数据获取安全事件日志，并根据设备IP地址信息和源端口信息，将待检测终端设备的终端进程数据和对应的安全事件日志进行关联，得到关联数据；

判断模块，用于通过预设进程白名单规则，对所述关联数据进行判断，若判断获知所述关联数据为可疑进程，则根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备；

所述判断模块包括：

第一处理单元，用于根据所述设备IP地址信息和所述源端口信息，获取所述关联数据对应的终端设备进程名；

第二处理单元，用于根据所述预设进程白名单规则中的历史终端设备进程名，对所述终端设备进程名进行匹配，其中，所述历史终端设备进程名包括常规进程名和可疑进程名；若所述终端设备进程名的匹配结果为可疑进程名，则判断所述关联数据为可疑进程；若所述终端设备进程名的匹配结果为常规进程名，则判断所述关联数据对应的安全事件为误报事件。

7.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述基于多维度的可疑终端设备检测方法的步骤。

8.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至5任一项所述基于多维度的可疑终端设备检测方法的步骤。