[发明专利]一种基于终端进程的互通网络异常检测方法

说明书

本发明涉及一种基于终端进程的互通网络异常检测方法，包括对终端进行进程检测和互通网络检测，得到多个检测结果；将多个所述检测结果进行关联分析，以得到异常检测结果，通过多种检测方法得到多个检测结果，并对检测结果进行关联分析，使得终端分析的结果更加准确可信，能够更加准确的捕捉到异常，减少了误报的几率。

技术领域

本发明涉及终端技术领域，尤其涉及一种基于终端进程的互通网络异常检测方法。

背景技术

天基互联网络将不同轨道、多种类型卫星以及地面应用终端等进行互联互通，并与地面移动通信网和新一代互联网互联互通，具有广覆盖、大容量、高传输、低延时的特点。由于开放性导致天基互联网络面临着严重的安全问题，影响着各类业务的正常开展，攻击事件层出不穷，信息泄露、篡改、服务器被控事件屡有发生。这些攻击行为之前，一般都有必要的迹象，为确保网络平台正常有效运行，需要分析各类危害平台安全的行为，提炼其特征，及时发现异常情况，建立主动监控防护机制，与传统的被动防御式安全措施相结合，进行安全性分类分级，一旦触发预警机制，可快速定位、溯源攻击者并及时消除影响，可以有效的降低安全威胁。

传统的基于恶意载体的分析方法往往在恶意攻击之后，根据恶意载体的行为一步步地进行追踪分析，分析结果作为情报用于相似攻击检测，这种方法无法面对一些恶意载体的变体形式，因此具有很大比例的漏报并且存在一定的误报。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本发明提供了一种基于终端进程的互通网络异常检测方法。

第一方面，本发明提供了一种基于终端进程的互通网络异常检测方法，所述方法包括：对终端进行进程检测和互通网络检测，得到多个检测结果；将多个所述检测结果进行关联分析，以得到异常检测结果。

可选地，对终端进行进程检测和互通检测，包括：通过决策树模型对终端进行进程检测，以确定终端是否存在伪装进程；通过关联程度计算方式对终端进行进程检测，以确定终端是否存在异常进程；通过建模对终端进行进程检测，以确定终端是否存在异常进程序列；对终端进行通信日志检测以及相似异常进程终端检测，得到互通网络检测结果。

可选地，通过决策树对终端进行进程检测，以确定终端是否存在伪装进程之前，所述方法包括：设计正负小样本集，所述正负小样本集包括：正样本、负样本向量；通过所述正负小样本集训练初始决策树模型，得到所述决策树模型；通过决策树对终端进行进程检测，以确定终端是否存在伪装进程包括：读入待检测日志数据，通过所述决策树模型对所述待检测日志数据进行检测，以对终端进行进程检测，确定终端是否存在异常进程。

可选地，通过关联程度计算方式对终端进行进程检测，以确定终端是否存在异常进程，包括：通过关联程度计算方式获取终端中进程的关联度，通过进程的关联度确定进程是否为异常进程。

可选地，通过建模对终端进行进程检测，以确定终端是否存在异常进程序列，包括：获取终端中进程序列中进程的行为，对进行序列中进程行为进行建模，以确定所述终端是否存在异常进程序列。

可选地，将多个所述检测结果进行关联分析，以得到异常检测结果之前，所述方法还包括：收集终端样本的动态行为数据，并对收集的数据进行数据预处理；通过卷积神经网络对进行数据预处理后的数据进行异常检测，以确定终端中是否存在恶意样本。

将多个所述检测结果进行关联分析，以得到异常检测结果，包括：将多个检测结果分别输入到检测模型中，通过所述检测模型分析多个检测结果的关联关系，根据所述关联关系确定异常检测结果。

本发明实施例提供的上述技术方案与现有技术相比具有如下优点：