[发明专利]终端威胁检测与响应方法及引擎

摘要

本发明公开了终端威胁检测与响应方法及引擎，所述引擎包括动作检测模块、基础信息模块、行为分析模块、威胁报警模块及自动处置模块，各个相互之间配合工作，由动作检测模块和基础信息模块提供数据，行为分析模块进行判断，如果发现威胁，则由威胁报警模块进行报警，并由自动处置模块根据实际情况按照规则指定的条件进行自动响应。本发明实施例公开的引擎与当前的大多数检测软件所使用的正则、YARA、特征等常规检测手段不同，采用了LUA语言进行引擎编写，使得引擎可以在不需要修改任何代码的情况下跨平台运行。当检测规则发生改变的时候只需要对LUA的脚本进行动态替换，而不需要重新编译整个系统。

主权项

1.终端威胁检测与响应方法，其特征在于，所述方法包括：获取系统发生事件的数据以及附加信息；检测所述事件行为规则包含的所有动作规则，利用进程属性标示所述动作规则的进程是否存在威胁；针对被标示的可疑行为规则包含的所有动作规则形成至少一个动作检测标志；对每个可疑行为规则所包含的所有动作检测标志进行行为匹配分析；如果所述可疑行为规则所包含的所有动作检测标志全部与至少一个标志位匹配，所述可疑行为规则确定存在威胁；其中，每个动作检测标志为由每个动作规则的所有的进程PID作为元素形成的一个可疑进程PID列表，所述标志位为所述可疑进程PID列表中的某个进程PID元素。