[发明专利]一种威胁检测方法及系统

权利要求书

1.一种威胁检测方法，其特征在于，包括：

获取待检测的子网络流量；

获取预先训练的检测模型，所述检测模型包括多个子检测模型，各个子检测模型与预定类型网络威胁的生命周期中所包括的各个阶段一一对应，且每个子检测模型为：基于正常网络流量及所述预定类型网络威胁的生命周期中相应阶段所对应的恶意网络流量所构建的模型；

分别利用所述多个子检测模型中的各个子检测模型对所述子网络流量进行检测，得到所述子网络流量的多个子检测结果；

基于所述多个子检测结果，确定所述子网络流量的检测结果；

基于预设时长内多个子网络流量的检测结果，确定所述预设时长内由所述多个子网络流量所组成的网络流量的检测结果，以获知所述网络流量是否属于所述预定类型的网络威胁。

2.根据权利要求1所述的方法，其特征在于，所述预定类型网络威胁为高级持续性威胁，所述预定类型网络威胁的生命周期中所包括的各个阶段包括：漏洞利用阶段、横向移动阶段、木马安装阶段、命令与控制阶段；

所述利用所述多个子检测模型中的各个子检测模型对所述子网络流量进行检测，包括：

提取所述子网络流量的至少一个流量特征，得到流量特征集；

将所述流量特征集分别输入第一子检测模型、第二子检测模型、第三子检测模型及第四子检测模型，相应得到各个子检测模型输出的第一子检测结果、第二子检测结果、第三子检测结果及第四子检测结果；

其中，所述第一子检测模型与所述漏洞利用阶段相对应，所述第二子检测模型与所述横向移动阶段相对应，所述第三子检测模型与所述木马安装阶段相对应，所述第四子检测模型与所述命令与控制阶段相对应。

3.根据权利要求2所述的方法，其特征在于，所述提取所述网络流量单元的至少一个流量特征，包括：

提取所述子网络流量的流时长、包大小、流量位置及通信次数中的任意一种或任意多种。

4.根据权利要求1所述的方法，其特征在于，所述基于预设时长内多个子网络流量的检测结果，确定所述预设时长内由所述多个子网络流量所组成的网络流量的检测结果，包括：

若所述多个子网络流量对应的各个检测结果表明超出预设数量的阶段检测出网络威胁，则确定所述网络流量属于所述预定类型的网络威胁；

其中，所述预设数量为不小于1且不大于所述生命周期中所包括的阶段数量的自然数。

5.根据权利要求1-4任一项所述的方法，其特征在于，还包括：

在符合预定条件时，基于新的网络流量更新所述检测模型；

其中，所述新的网络流量至少包括所述预定类型网络威胁的生命周期中不同阶段所对应的新恶意网络流量。

6.一种威胁检测系统，其特征在于，包括：

第一获取单元，用于获取待检测的子网络流量；

第二获取单元，用于获取预先训练的检测模型，所述检测模型包括多个子检测模型，各个子检测模型与预定类型网络威胁的生命周期中所包括的各个阶段一一对应，且每个子检测模型为：基于正常网络流量及所述预定类型网络威胁的生命周期中相应阶段所对应的恶意网络流量所构建的模型；

检测单元，用于分别利用所述多个子检测模型中的各个子检测模型对所述子网络流量进行检测，得到所述子网络流量的多个子检测结果；

第一确定单元，用于基于所述多个子检测结果，确定所述子网络流量的检测结果；

第二确定单元，用于基于预设时长内多个子网络流量的检测结果，确定所述预设时长内由所述多个子网络流量所组成的网络流量的检测结果，以获知所述网络流量是否属于所述预定类型的网络威胁。