[发明专利]终端设备的安全接入方法、装置、电子设备和存储介质

权利要求书

1.一种终端设备的安全接入方法，其特征在于，包括：

通过流量探针，采集终端设备的原始数据流，并对所述原始数据流进行数据包特征提取和协议特征提取，从而得到所述终端设备的数据包特征和所述终端设备的协议特征；

获得网络设备的日志文件、所述网络设备的入口数据包和所述网络设备的出口数据包，并根据所述日志文件、所述入口数据包和所述出口数据包，确定所述终端设备的网络行为数据，其中，所述终端设备通过所述网络设备与上层应用通信连接；

将所述数据包特征和所述协议特征输入至预先建立的行为模型，从而确定所述终端设备的设备类型；

根据所述网络行为数据和预先建立的行为基线，确定所述终端设备的网络行为是否异常，其中，所述行为基线与所述行为模型相匹配；

若所述终端设备的网络行为出现异常或者所述终端设备的设备类型不在预设安全设备类型名单中，则禁止所述终端设备与所述网络设备的连接。

2.根据权利要求1所述的方法，其特征在于，所述行为模型的建立过程，包括：

获得不同终端设备的正常行为集合，其中，所述正常行为集合包括：互访关系、协议类型、访问时间、访问频率、访问对象、总流数、总包数、总字节数、延时和访问结果中的至少一种；

将所述正常行为集合输入至预先建立的神经网络模型，从而对所述神经网络模型训练得到所述行为模型。

3.根据权利要求1所述的方法，其特征在于，所述行为基线的建立过程，包括：

根据预设的周期，获取不同终端设备的多种正常的所述网络行为数据；

对于任所述终端设备的任一所述网络行为数据，均执行：使用MapReduce技术对所述网络行为数据进行计算和收敛得到相应的所述行为基线。

4.根据权利要求1所述的方法，其特征在于，所述通过流量探针，采集终端设备的原始数据流，并对所述原始数据流进行数据包特征提取和协议特征提取，从而得到所述终端设备的数据包特征和所述终端设备的协议特征，包括：

通过部署在局域网出口的流量探针，采集所述终端设备的原始数据流；

通过预先建立的数据包提取规则，从所述原始数据流中提取所述终端设备的数据包特征；

通过预先建立的协议特征提取规则，从所述原始数据流中提取所述终端设备的协议特征。

5.一种终端设备的安全接入装置，其特征在于，包括：特征提取单元、网络行为数据确定单元、设备类型确定单元、网络行为判断单元和禁止连接单元；

所述特征提取单元，用于通过流量探针，采集终端设备的原始数据流，并对所述原始数据流进行数据包特征提取和协议特征提取，从而得到所述终端设备的数据包特征和所述终端设备的协议特征；

所述网络行为数据确定单元，用于获得网络设备的日志文件、所述网络设备的入口数据包和所述网络设备的出口数据包，并根据所述日志文件、所述入口数据包和所述出口数据包，确定所述终端设备的网络行为数据，其中，所述终端设备通过所述网络设备与上层应用通信连接；

所述设备类型确定单元，用于将所述数据包特征和所述协议特征输入至预先建立的行为模型，从而确定所述终端设备的设备类型；

所述网络行为判断单元，用于根据所述网络行为数据和预先建立的行为基线，确定所述终端设备的网络行为是否异常，其中，所述行为基线与所述行为模型相匹配；

所述禁止连接单元，用于若所述终端设备的网络行为出现异常或者所述终端设备的设备类型不在预设安全设备类型名单中，则禁止所述终端设备与所述网络设备的连接。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：行为模型建立单元；

所述行为模型建立单元，用于执行所述行为模型的建立过程；

所述行为模型建立单元，包括：正常行为获得子单元和模型训练子单元；

所述正常行为获得子单元，用于获得不同终端设备的正常行为集合，其中，所述正常行为集合包括：互访关系、协议类型、访问时间、访问频率、访问对象、总流数、总包数、总字节数、延时和访问结果中的至少一种；

所述模型训练子单元，用于将所述正常行为集合输入至预先建立的神经网络模型，从而对所述神经网络模型训练得到所述行为模型。