[发明专利]基于多维度的可疑终端设备检测方法及系统

说明书

本发明实施例提供一种基于多维度的可疑终端设备检测方法及系统，该方法包括：通过流量数据获取安全事件日志，并根据设备IP地址信息和源端口信息，将待检测终端设备的终端进程数据和对应的安全事件日志进行关联，得到关联数据；通过预设进程白名单规则，对所述关联数据进行判断，若判断获知所述关联数据为可疑进程，则根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备。本发明实施例通过大数据技术，结合多种安全类数据进行分析，减少安全事件的误判可能性，提高安全事件处理的效率，加快可疑终端的排查，进而减少网络的风险。

技术领域

本发明涉及大数据安全技术领域，尤其涉及一种基于多维度的可疑终端设备检测方法及系统。

背景技术

大数据时代来临，各行业数据规模呈TB级增长，拥有高价值数据源的企业，在大数据产业链中占有至关重要的核心地位。在实现大数据集中后，如何确保网络数据的完整性、可用性和保密性，不受到信息泄漏和非法篡改的安全威胁影响，已成为信息化健康发展所要考虑的核心问题。

随着技术的进步和发展，现在的网络情况也变得越来越复杂，有各类安全设备广泛使用，但由于厂商对自己的安全设备设置的检测规则并不十分合理，导致产生的安全事件得数据量很大，其中存在大量的误判的安全事件，严重影响用户对其所管理的终端设备安全的判断，使得可能存在风险的终端设备不被发现，进而增加了整个网络的安全风险。

因此，现在亟需一种基于多维度的可疑终端设备检测方法及系统来解决上述问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种基于多维度的可疑终端设备检测方法及系统。

第一方面，本发明实施例提供了一种基于多维度的可疑终端设备检测方法，包括：

通过流量数据获取安全事件日志，并根据设备IP地址信息和源端口信息，将待检测终端设备的终端进程数据和对应的安全事件日志进行关联，得到关联数据；

通过预设进程白名单规则，对所述关联数据进行判断，若判断获知所述关联数据为可疑进程，则根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备。

进一步地，所述通过预设进程白名单规则，对所述关联数据进行判断，包括：

根据所述设备IP地址信息和所述源端口信息，获取所述关联数据对应的终端设备进程名；

根据所述预设进程白名单规则中的历史终端设备进程名，对所述终端设备进程名进行匹配，其中，所述历史终端设备进程名包括常规进程名和可疑进程名；

若所述终端设备进程名的匹配结果为可疑进程名，则判断所述关联数据为可疑进程；若所述终端设备进程名的匹配结果为常规进程名，则判断所述关联数据对应的安全事件为误报事件。

进一步地，所述预设进程白名单规则中还包括历史进程MD5值，以根据所述历史终端设备进程名和所述历史进程MD5值，对所述关联数据对应的终端设备进程名和MD5值进行匹配，得到匹配结果。

进一步地，所述根据所述设备IP地址信息和所述源端口信息，将所述关联数据和病毒数据中的病毒日志进行匹配，若匹配成功，则判断获知所述待检测终端设备为高风险设备，包括：

将所述关联数据的终端设备进程名、设备IP地址信息和MD5值在病毒数据中进行匹配，若匹配到所述病毒数据中对应的病毒日志，则判断获知所述关联数据对应的待检测终端设备为高风险设备。

进一步地，所述将所述关联数据的终端设备进程名、设备IP地址信息和MD5值在病毒数据中进行匹配，还包括：