[发明专利]一种终端设备资产异常检测方法、装置、电子设备及存储介质

说明书

本发明实施例公开一种终端设备资产异常检测方法、装置、电子设备及存储介质，涉及终端安全技术领域。所述方法包括：实时获取所述终端设备上生成的资产日志；所述资产日志中包含：资产类型标识及对资产的操作行为信息；根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分；将所述异常评分与预设的相应资产类型的异常行为基线阈值进行比较，得到比较结果；根据所述比较结果确定所述终端设备的相应资产是否存在异常。本发明通过上述方法步骤，便于及时检测出终端设备的资产是否存在异常，适用于对计算机、智能手机等终端设备运行状态监控场景中。

技术领域

本发明涉及终端安全技术领域，尤其涉及一种终端设备资产异常检测方法、装置、电子设备及存储介质。

背景技术

随着互联网技术的发展，终端，包括计算机和智能手机等在内的可联网设备正日益面临着来自网络的各种安全威胁，因此，需要对终端在运行过程中是否存在异常进行检测，以便于及时发现并处理异常问题。

现有终端，例如计算机等，异常检测技术中，由多种流量、终端检测设备定时上报网络日志及其计算机软硬件操作行为，根据统计的前n(n为正整数)天的计算机行为信息形成历史操作及网络行为基线，再统计当天操作行为、流量信息等作为当天行为基线；将当天行为基线与历史行为基线进行比对，以确定是否需要告警。

发明人在实现本发明创造的过程中发现：上述现有终端设备资产状态检测方案，每次告警数据的生成最少需要一天，存在较大的延迟性，致使检测不够及时。

发明内容

有鉴于此，本发明实施例提供一种终端设备资产异常检测方法、装置、电子设备及存储介质，便于及时检测出终端设备的资产是否存在异常。

第一方面，本发明实施例提供的终端设备资产异常检测方法，包括步骤：

实时获取所述终端设备上生成的资产日志；所述资产日志中包含：资产类型标识及对资产的操作行为信息；

根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分；

将所述异常评分与预设的相应资产类型的异常行为基线阈值进行比较，得到比较结果；

根据所述比较结果确定所述终端设备的相应资产是否存在异常。

结合第一方面，在第一方面的第一种实施方式中，所述根据所述资产类型标识及对资产的操作行为信息确定当前资产的异常评分包括：

根据获取的上一条资产日志中包含的对资产的操作行为信息确定当前资产的第一异常评分；

根据获取的当前条资产日志中包含的对资产的操作行为信息确定当前资产的第二异常评分；所述上一条资产日志与当前条资产日志在获取时序上连续；

所述将所述异常评分，与预设的相应资产类型的异常行为基线阈值进行比较包括：对所述第一异常评分与第二异常评分进行求差运算，得到比较基线差值；

判断所述比较基线差值是否在预设的相应资产类型的异常行为基线阈值内。

结合第一方面，在第一方面的第二种实施方式中，所述对所述第一异常评分与第二异常评分进行求差运算，得到比较基线差值包括:分别取第一异常评分及第二异常评分的对数；将第二异常评分的对数与第一异常评分的对数相除，生成对数差；将所述对数差作为所述比较基线差值。

结合第一方面，在第一方面的第三种实施方式中，所述根据所述比较结果确定所述终端设备是否存在异常包括：若判断所述比较基线差值不在预设的相应资产类型的异常行为基线阈值内，则确定所述终端设备的相应资产存在异常，生成告警数据。

结合第一方面和/或、第一方面的第一、二种实施方式，在第一方面的第四种实施方式中，所述资产类型标识包括：网络标识、终端设备硬件标识及软件标识，所述软件标识包含系统及应用软件标识；