设备行为攻击的检测方法、装置、计算机设备及存储介质与流程

本申请涉及网络信息安全，尤其涉及一种设备行为攻击的检测方法、装置、计算机设备及存储介质。

背景技术：

1、在网络安全监测领域，基于时序分析的攻击推理是发现持续性威胁和高级持续性威胁（apt）的重要手段。

2、在现有的网络安全监测体系中，基于时序分析的攻击推理主要依赖于对网络流量或告警日志的统计与挖掘。目前主流的技术方案主要包括：基于固定时间窗口的统计方法，即通过将时间划分为固定长度的片段，统计窗口内的流量或告警阈值来判断异常。

3、固定时间窗口的统计方法虽然实现简单，但窗口大小的选择对结果影响较大，比如现有技术为了降低计算开销，通常采用较大的固定时间窗口（如分钟级或小时级），而较大的固定时间窗口难以捕捉快速变化的攻击行为，且攻击检测往往需要等待窗口结束才能进行计算，

4、导致攻击检测存在较大延迟，从而无法准确检测是否发生攻击行为，另外，现有技术是针对单一固定时间窗口的检测数据来分析判断，难以发现发现跨时间窗口的攻击链条，导致攻击行为的检测结果不太可靠。

技术实现思路

1、本申请实施例提供了一种设备行为攻击的检测方法、装置、计算机设备及存储介质，旨在解决传统采用单一的固定时间窗口进行分析检测，导致无法准确检测攻击行为的问题。

2、第一方面，本申请实施例提供了一种设备行为攻击的检测方法，所述方法包括：

3、获取待分析设备的原始流量数据；

4、利用多个不同时间粒度的时序窗口分别对所述原始流量数据进行处理，得到多维度行为特征数据；

5、将所述多维度行为特征数据与预设的设备行为基线进行比对，得到目标比对结果；

6、若所述目标比对结果符合预设的异常条件，则确定所述待分析设备存在异常攻击行为。

7、其进一步的技术方案为，多个不同时间粒度的时序窗口包括第一周期窗口、第二周期窗口、第三周期窗口和第四期窗口，其中，第一周期窗口、第二周期窗口、第三周期窗口和第四期窗口的时长依次增大，所述利用多个不同时间粒度的时序窗口分别对所述原始数据进行处理，得到多维度行为特征数据，包括：

8、利用所述第一周期窗口对所述原始数据进行处理，得到第一数据；

9、判断所述第一数据是否满足第二周期窗口的触发条件；

10、响应于所述第一数据满足第二周期窗口的触发条件，利用所述第二周期窗口对所述第一数据进行处理，得到第二数据；

11、响应于所述第一数据未满足第二周期窗口的触发条件，则判断所述第一数据是否满足第三周期窗口的触发条件；

12、响应于所述第一数据满足第三周期窗口的触发条件，利用所述第三周期窗口对所述第一数据进行指纹处理，得到第三数据；

13、基于所述第二数据和所述第三数据，得到多维度行为特征数据。

14、其进一步的技术方案为，所述多维度行为特征数据包括多个维度的特征数据；所述预设的设备行为基线包括与所述多个维度相对应的多个预设子基线；

15、所述将所述多维度行为特征数据与预设的设备行为基线进行比对，得到目标比对结果，包括：

16、分别将多个维度的特征数据与其对应的预设子基线进行一一对比，得到多个单一比对结果；

17、根据预设的权重分配策略，对多个所述单一比对结果进行加权融合处理，得到所述目标比对结果。

18、其进一步的技术方案为，所述多个维度的特征数据包括ip地址、mac地址、设备类型、设备ttl值、设备名称、设备端口服务信息、banner信息、操作系统类型、http行为、实时流量中的至少两者。

19、其进一步的技术方案为，所述多个不同时间粒度的时序窗口还包括第四周期窗口，所述第四周期窗口的时长大于所述第三期窗口的时长，所述判断所述第一数据是否满足第三周期窗口的触发条件，还包括：

20、响应于所述第一数据未满足第三周期窗口的触发条件，则判断所述第一数据是否满足第四周期窗口的触发条件；

21、响应于所述第一数据满足第四周期窗口的触发条件，利用所述第四周期窗口对所述第一数据进行流量统计汇总处理，得到第四数据；并将所述第四数据批量写入预设的数据库；

22、响应于所述第一数据未满足第四周期窗口的触发条件，则返回至所述获取待分析设备的原始流量数据的步骤。

23、其进一步的技术方案为，所述得到多个单一比对结果之后，所述方法还包括：

24、若所述单一比对结果符合预设的偏离条件，则将所述单一比对结果的异常行为记录为攻击事件节点；

25、根据所述攻击事件点之间的时间顺序和因果关联构建时序边；

26、基于所述时序边得到时序图；

27、在所述时序图中识别出目标攻击链；

28、基于目标攻击链，按照预设的时间顺序重建攻击场景。

29、其进一步的技术方案为，所述得到目标比对结果之后，所述方法还包括：

30、若所述目标比对结果未符合预设的异常条件，则将预设的设备行为基线进行进行更新。

31、第二方面，本申请实施例还提供了一种设备行为攻击的检测装置，其包括用于执行上述方法的单元。

32、第三方面，本申请实施例还提供了一种计算机设备，其包括存储器及处理器，所述存储器上存储有计算机程序，所述处理器执行所述计算机程序时实现上述方法。

33、第四方面，本申请实施例还提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序当被处理器执行时可实现上述方法。

34、本申请实施例提供了一种设备行为攻击的检测方法、装置、计算机设备及存储介质。其中，所述方法包括：获取待分析设备的原始流量数据；利用多个不同时间粒度的时序窗口分别对所述原始流量数据进行处理，得到多维度行为特征数据；将所述多维度行为特征数据与预设的设备行为基线进行比对，得到目标比对结果；若所述目标比对结果符合预设的异常条件，则确定所述待分析设备存在异常攻击行为。

35、本申请实施例通过设置多个不同时间粒度的时序窗口，可以利用不同时间粒度的时序窗口对所述原始流量数据进行处理，得到不同的检测信息，基于此，即使攻击者成功规避了某一特定粒度（如分钟级）的检测规则，其异常行为特征仍极有可能在其他粒度的时序窗口检测得到，如此，通过结合多个不同时间粒度的时序窗口的检测信息进行全面分析判断，可以避免单一固定时间窗口出现的误报或者漏报情况，提高攻击行为检测的准确性。

1.一种设备行为攻击的检测方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，多个不同时间粒度的时序窗口包括第一周期窗口、第二周期窗口、第三周期窗口和第四期窗口，其中，第一周期窗口、第二周期窗口、第三周期窗口和第四期窗口的时长依次增大，所述利用多个不同时间粒度的时序窗口分别对所述原始数据进行处理，得到多维度行为特征数据，包括：

3.根据权利要求2所述的方法，其特征在于，所述多维度行为特征数据包括多个维度的特征数据；所述预设的设备行为基线包括与所述多个维度相对应的多个预设子基线；

4.根据权利要求2所述的方法，其特征在于，所述多个维度的特征数据包括ip地址、mac地址、设备类型、设备ttl值、设备名称、设备端口服务信息、banner信息、操作系统类型、http行为、实时流量中的至少两者。

5.根据权利要求2所述的方法，其特征在于，所述多个不同时间粒度的时序窗口还包括第四周期窗口，所述第四周期窗口的时长大于所述第三期窗口的时长，所述判断所述第一数据是否满足第三周期窗口的触发条件，还包括：

6.根据权利要求3所述的方法，其特征在于，所述得到多个单一比对结果之后，所述方法还包括：

7.根据权利要求1所述的方法，其特征在于，所述得到目标比对结果之后，所述方法还包括：

8.一种设备行为攻击的检测装置，其特征在于，包括用于执行如权利要求1-7任一项所述方法的单元。

9.一种计算机设备，其特征在于，所述计算机设备包括存储器及处理器，所述存储器上存储有计算机程序，所述处理器执行所述计算机程序时实现如权利要求1-7中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序当被处理器执行时可实现如权利要求1-7中任一项所述的方法。