[发明专利]一种终端设备资产异常检测方法、装置、电子设备及存储介质

权利要求书

1.一种终端设备资产异常检测方法，其特征在于，包括步骤：

实时获取所述终端设备上生成的资产日志；所述资产日志中包含：资产类型标识及对资产的操作行为信息；

根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分；

将所述异常评分与预设的相应资产类型的异常行为基线阈值进行比较，得到比较结果；

根据所述比较结果确定所述终端设备的相应资产是否存在异常。

2.根据权利要求1所述的终端设备资产异常检测方法，其特征在于，所述根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分包括：

根据获取的上一条资产日志中包含的对资产的操作行为信息确定当前资产的第一异常评分；

根据获取的当前条资产日志中包含的对资产的操作行为信息确定当前资产的第二异常评分；所述上一条资产日志与当前条资产日志在获取时序上连续；

所述将所述异常评分，与预设的相应资产类型的异常行为基线阈值进行比较包括：

对所述第一异常评分与第二异常评分进行求差运算，得到比较基线差值；

判断所述比较基线差值是否在预设的相应资产类型的异常行为基线阈值内。

3.根据权利要求2所述的终端设备资产异常检测方法，其特征在于，所述对所述第一异常评分与第二异常评分进行求差运算，得到比较基线差值包括:

分别取第一异常评分及第二异常评分的对数；

将第二异常评分的对数与第一异常评分的对数相除，生成对数差；

将所述对数差作为所述比较基线差值。

4.根据权利要求2所述的终端设备资产异常检测方法，其特征在于，所述根据所述比较结果确定所述终端设备是否存在异常包括：若判断所述比较基线差值不在预设的相应资产类型的异常行为基线阈值内，则确定所述终端设备的相应资产存在异常，生成告警数据。

5.根据权利要求1所述的终端设备资产异常检测方法，其特征在于，所述资产类型标识包括：网络标识、终端设备硬件标识及软件标识，所述软件标识包含系统及应用软件标识；

所述操作行为信息包括：操作源标识、操作目标资产标识、操作行为频次及操作行为时间标识。

6.根据权利要求2所述的终端设备资产异常检测方法，其特征在于，在根据所述比较结果确定所述终端设备是否存在异常之后，所述方法还包括：

循环获取预定统计时段内所述终端设备上生成的每条资产日志；所述每条资产日志的资产类型标识相同；

根据每两条时序上连续的资产日志中的操作行为信息得到的比较基线差值，与预设的相应资产类型的异常行为基线阈值比较，实时确定所述终端设备的相应资产在所述预定统计时段内是否存在异常。

7.一种终端设备资产异常检测装置，其特征在于，所述装置包括：

获取程序模块，用于实时获取所述终端设备上生成的资产日志；所述资产日志中包含：资产类型标识及对资产的操作行为信息；

评分程序模块，用于根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分；

比较程序模块，用于将所述异常评分与预设的相应资产类型的异常行为基线阈值进行比较，得到比较结果；

确定程序模块，用于根据所述比较结果确定所述终端设备的相应资产是否存在异常。

8.根据权利要求7所述的终端设备资产异常检测装置，其特征在于，所述评分程序模块，具体用于：

根据获取的上一条资产日志中包含的对资产的操作行为信息确定当前资产的第一异常评分；

根据获取的当前条资产日志中包含的对资产的操作行为信息确定当前资产的第二异常评分；所述上一条资产日志与当前条资产日志在获取时序上连续；

所述比较程序模块，包括：

运算程序单元，用于对所述第一异常评分与第二异常评分进行求差运算，得到比较基线差值；

判断程序单元，用于判断所述比较基线差值是否在预设的相应资产类型的异常行为基线阈值内。