[发明专利]一种设备异常检测方法及装置

说明书

本发明实施例提供一种设备异常检测方法及装置。所述方法包括：获取待检测网络流量对应的待检测源端点设备对应的IP地址、MAC地址和设备指纹信息，待检测目的端点设备对应的IP地址、MAC地址和设备指纹信息；将待检测信息与预先建立的基准库中的目标基准信息进行匹配，获得匹配结果；根据匹配结果判断待检测网络流量对应的待检测端点设备是否异常。所述装置用于执行所述方法。本发明实施例通过获取待检测网络流量的待检测信息，将待检测信息与预先建立的基准库中的目标基准信息进行匹配来对待检测端点设备进行异常判断，实现了对流量重定向异常的判断，从而提高了判断的准确性。

技术领域

本发明实施例涉及网络安全技术领域，尤其涉及一种设备异常检测方法及装置。

背景技术

随着互联网技术的飞速发展，网络中接入的设备数量及种类也越来越多，例如：手机、PC机、平板电脑、笔记本电脑、打印机、IP电话、门禁等等。这些设备的出现给人们的生活带来了极大的便利，也使得工作效率也更加高效。但是，一些不法人员的操作也会给网络的安全造成一定的威胁。

对于物联网环境下的工业控制系统，对其检测通常是利用特征匹配引起对网络内的流量进行分析，主要是指工业控制的特定协议，如modbus、zigbee等，也包括对各种传统终端行为流量的分析。目前，传统的TCP/IP特征包匹配的方法是经过解析监控到的网络流量，从网络流量中获取源IP地址、源MAC地址和目的IP地址、目的MAC地址，如果源IP地址、源MAC地址和目的IP地址、目的MAC地址均正确，则说明该网络流量正常。但是，现实中可能会存在盗用设备IP地址和MAC地址的情况，这种异常也称为流量重定向，此时，传统的TCP/IP特征报匹配异常检测方法便发现不了这种异常，从而导致了异常检测的准确性较低的问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种设备异常检测方法及装置。

第一方面，本发明实施例提供一种设备异常检测方法，包括：

获取待检测网络流量对应的待检测信息，所述待检测信息包括：待检测源端点设备对应的IP地址、MAC地址和设备指纹信息，待检测目的端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息，所述设备指纹信息包括硬件信息、操作系统信息和应用服务信息；

将所述待检测信息与预先建立的基准库中的目标基准信息进行匹配，获得匹配结果；

根据所述匹配结果判断所述待检测网络流量对应的待检测端点设备是否异常，所述待检测端点设备包括所述待检测源端点设备和/或所述待检测目的端点设备。

第二方面，本发明实施例提供一种设备异常检测装置，包括：

获取模块，用于获取待检测网络流量对应的待检测信息，所述待检测信息包括：待检测源端点设备对应的IP地址、MAC地址和设备指纹信息，待检测目的端点设备对应的所述IP地址、所述MAC地址和所述设备指纹信息；

匹配模块，用于将所述待检测信息与预先建立的基准库中的目标基准信息进行匹配，获得匹配结果；

判断模块，用于根据所述匹配结果判断所述待检测网络流量对应的待检测端点设备是否异常，所述待检测端点设备包括所述待检测源端点设备和/或所述待检测目的端点设备。

第三方面，本发明实施例提供一种电子设备，包括：处理器、存储器和总线，其中，

所述处理器和所述存储器通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行上述方法步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，包括：

所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述方法步骤。