[发明专利]一种多维度检测防御APT的系统及方法

权利要求书

1.一种检测防御APT和高级安全威胁的系统，其特征在于，包括：至少两个检测模块，和维度扩展模块；

所述检测模块分别部署于各维度中，根据所处维度检测点环境，预设检测规则，用于检测当前维度中的待检测对象，记录待检测对象的行为及检测结果，根据预设筛选规则，筛选出维度检测扩展信息，并发送到维度扩展模块中；获取维度扩展模块发送来的检测规则及筛选规则，补充到预设检测规则和预设筛选规则中；

维度扩展模块，用于获取各检测模块发送来的维度检测扩展信息，根据预设维度关联规则对所述维度检测扩展信息进行投影关联，产生其他维度可用的检测规则及筛选规则，并发送到对应维度的检测模块中；

所述维度由至少两个不同检测点环境组成，每个检测点环境为一个维度。

2.如权利要求1所述的系统，其特征在于，如果所述检测模块的预设检测规则中不存在待检测对象的检测规则，则记录所述待检测对象的信息，并发送到维度扩展模块；

维度扩展模块根据待检测对象的信息，将所述待检测对象发送到相应维度的检测模块中。

3.如权利要求1所述的系统，其特征在于，在所述检测模块收到维度扩展模块发送来的检测规则及筛选规则，补充到预设检测规则和预设筛选规则中后，对当前检测模块中的所有待检测对象进行二次检测。

4.如权利要求1所述的系统，其特征在于，包括：至少两个防御模块，所述防御模块分别部署于各维度中，用于根据所处维度对应检测模块的检测结果及预设防御规则，对待检测对象拦截、阻断或告警，并根据预设筛选规则，筛选出维度防御扩展信息，并发送到维度扩展模块中；获取维度扩展模块发送的防御规则，并补充到预设防御规则中；

所述维度扩展模块根据维度关联规则，对收到的维度防御扩展信息进行投影关联，产生其他维度可用的防御规则，并发送到对应维度的防御模块中。

5.如权利要求1所述的系统，其特征在于，包括：至少两个处置模块，所述处置模块分别部署于各维度中，用于根据所处维度对应检测模块的检测结果及预设处置规则，对待检测对象进行处置，并将维度处置扩展信息发送到维度扩展模块中；获取维度扩展模块发送的处置规则，并补充到预设处置规则中；

所述维度扩展模块根据维度关联规则，对收到的维度处置扩展信息进行投影关联，产生其他维度可用的处置规则，并发送到对应维度的处置模块中。

6.如权利要求1至5所述的系统，其特征在于，所述维度关联规则将维度检测扩展信息，和/或维度防御扩展信息，和/或维度处置扩展信息与各维度检测点环境所需要的信息关联，并根据统计数据或数学模型预设到维度扩展模块中。

7.一种检测防御APT和高级安全威胁的方法，适用于权利要求1所述系统，其特征在于，包括：

检测模块根据预设检测规则，检测当前维度中的待检测对象；

记录待检测对象的行为及检测结果；

根据预设筛选规则，筛选出维度检测扩展信息，并发送到维度扩展模块中；

获取检测模块发送来的维度检测扩展信息；

根据预设维度关联规则对所述维度检测扩展信息进行投影关联，产生其他维度可用的检测规则及筛选规则，并发送到对应维度的检测模块中；

所述检测模块还获取维度扩展模块发送来的检测规则及筛选规则，补充到预设检测规则和预设筛选规则中；

所述维度由至少两个不同检测点环境组成，每个检测点环境为一个维度。

8.如权利要求7所述的方法，其特征在于，如果所述预设检测规则中不存在待检测对象的检测规则，则记录所述待检测对象的信息，并发送到维度扩展模块；

维度扩展模块根据待检测对象的信息，将所述待检测对象发送到相应维度的检测模块中。

9.如权利要求7所述的方法，其特征在于，在所述检测模块收到维度扩展模块发送来的检测规则及筛选规则，补充到预设检测规则和预设筛选规则中后，对当前检测模块中的所有待检测对象进行二次检测。