[发明专利]一种检测方法、设备及计算机存储介质

权利要求书

1.一种检测方法，其特征在于，所述方法包括：

获得每个目标设备的至少两个安全事件；

获得针对所述目标设备的各个安全事件的属性信息，所述属性信息用于表征所述安全事件在所述目标设备在被攻击过程中所处的被攻击阶段；

基于各个安全事件的属性信息，生成针对所述目标设备的事件序列；

基于所述事件序列和获得的匹配模型，确定所述目标设备的被攻击属性信息，所述被攻击属性信息至少表征为所述目标设备的被攻击类别。

2.根据权利要求1所述的方法，其特征在于，在获得针对所述目标设备的各个安全事件的属性信息的情况下，所述方法还包括：

获得所述各个安全事件的多个标签属性；

相应的，所述基于各个安全事件的属性信息，生成针对所述目标设备的事件序列，包括：

基于安全事件的所述属性信息和所述多个标签属性，计算各个安全事件的风险参数；

依据各个安全事件的风险参数，确定各个安全事件的可疑级别；

依据各个安全事件的可疑级别，生成所述事件序列。

3.根据权利要求2所述的方法，其特征在于，所述依据各个安全事件的可疑级别，生成所述事件序列，包括：

提取可疑级别为相同的多个安全事件；

针对所述多个安全事件中各个安全事件，按照各个安全事件的被攻击阶段在攻击过程中的顺序进行排列，得到所述事件序列；

相应的，所述基于所述事件序列和获得的匹配模型，确定所述目标设备的被攻击属性信息，包括：

判断所述事件序列与所述匹配模型中的第一模型是否匹配；

判断为匹配时，确定所述目标设备的被攻击类别为第一类别，所述第一类别用于指示提升所述目标设备的可疑级别。

4.根据权利要求3所述的方法，其特征在于，所述第一模型至少记载有多个第一关联关系，第一关联关系表征为处于相同可疑级别的多个安全事件之间的关联性；

相应的，所述判断所述事件序列与所述匹配模型中的第一模型是否匹配，包括：

判断所述多个第一关联关系中是否存在有能够与所述事件序列中的至少部分安全事件对应的关联关系；

判断为存在时，确定为所述事件序列与所述第一模型匹配。

5.根据权利要求2所述的方法，其特征在于，所述依据各个安全事件的可疑级别，生成所述事件序列，包括：

提取可疑级别为至少部分不同的多个安全事件；

针对所述多个安全事件中各个安全事件，按照各个安全事件的被攻击阶段在攻击过程中的顺序进行排列，得到所述事件序列；

相应的，所述基于所述事件序列和获得的匹配模型，确定所述目标设备的被攻击属性信息，包括：

判断所述事件序列与所述匹配模型中的第二模型是否匹配；

判断为匹配时，确定所述目标设备的被攻击类别为第二类别，所述第二类别用于指示所述目标设备的被攻击类型和/或攻击所述目标设备的对象。

6.根据权利要求5所述的方法，其特征在于，所述第二模型至少记载有多个第二关联关系，每个第二关联关系表征为存在有关联关系的安全事件之间的关联性，所述第二关联关系中的所有安全事件至少部分安全事件为不同可疑级别；

相应的，所述判断所述事件序列与所述匹配模型中的第二模型是否匹配，包括：

判断所述多个第二关联关系中是否存在有能够与所述事件序列中的至少部分安全事件对应的关联关系；

判断为存在时，确定为所述事件序列与所述第二模型匹配。

7.根据权利要求3或5所述的方法，其特征在于，对于所述多个目标设备中的第一设备，

在确定出所述第一设备的被攻击类别为第一类别或为第二类别的情况下，

如果所述多个目标设备中的第二设备与所述第一设备存在通信、且所述第二设备生成的所述事件序列与所述第一设备生成的所述事件序列为相同，则确定所述第二设备的被攻击类别为第三类别，所述第三类别用于指示所述第二设备遭受到的攻击由所述第一设备遭受到的第一类别或第二类别的攻击的扩散而得。