[发明专利]一种设备异常检测方法及装置

权利要求书

1.一种设备异常检测方法，其特征在于，包括：

获取预设时间段内通过待检测端口的、且在预先建立的监控对象列表中的所有网络流量信息，将所述网络流量信息存入预先建立的基准库中，所述监控对象列表中包括要监控的源端点设备的IP地址和目的端点设备的IP地址，每一条所述网络流量信息包括：源端点设备对应的IP地址、MAC地址和设备指纹信息，目的端点设备对应的IP地址、MAC地址和设备指纹信息；

获取待检测网络流量对应的待检测信息，所述待检测信息包括：待检测源端点设备对应的IP地址、MAC地址和设备指纹信息，待检测目的端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息；

将所述待检测信息与预先建立的基准库中的目标基准信息进行匹配，获得匹配结果；

根据所述匹配结果判断所述待检测网络流量对应的待检测端点设备是否异常，所述待检测端点设备包括所述待检测源端点设备和/或所述待检测目的端点设备；

所述将所述待检测信息与预先建立的基准库中的目标基准信息进行匹配，包括：

根据所述待检测信息，利用预设规则从所述基准库中获得所述目标基准信息；所述目标基准信息包括目标源端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息，目标目的端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息；

将所述待检测源端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息与所述目标基准信息包括目标源端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息进行匹配；

将所述待检测目的端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息与所述目标目的端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息进行匹配；

所述根据所述待检测信息，利用预设规则从所述基准库中获得所述目标基准信息，包括：

若所述待检测信息中的IP地址对与基准信息中的IP地址对匹配成功，则将所述基准信息作为所述目标基准信息，否则进行MAC地址对匹配；

若所述待检测信息中的所述MAC地址对与基准信息中的所述MAC地址对匹配成功，则将所述基准信息作为所述目标基准信息，否则进行设备指纹信息对匹配；

若所述待检测信息中的所述设备指纹信息对与基准信息中的所述设备指纹信息对匹配成功，则将所述基准信息作为所述目标基准信息。

2.根据权利要求1所述的方法，其特征在于，所述根据所述匹配结果判断所述待检测网络流量对应的所述待检测端点设备是否异常，包括：

若判断获知所述待检测源端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息，与所述目标源端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息完全匹配，则所述待检测源端点设备正常，否则，所述待检测源端点设备异常；

若判断获知所述待检测目的端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息，与所述设备指纹信息与所述目标源端点设备对应的所述IP地址、所述MAC地址、所述设备指纹信息完全匹配，则所述待检测源端点设备正常，否则，所述待检测目的端点设备异常。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述待检测源端点设备对应的所述IP地址和所述待检测目的端点设备对应的所述IP地址构成的所述IP地址对在所述监控对象列表中、且在所述基准库中没有所述IP地址对对应的所述基准信息，则将所述待检测信息存入所述基准库中。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述设备指纹信息包括：硬件信息、操作系统信息和应用服务信息中的任意一项或其组合。