[发明专利]一种物联网设备非法替换检测方法、装置、设备及介质

权利要求书

1.一种物联网设备非法替换检测方法，其特征在于，包括：

获取物联网设备的运行信息，其中，所述运行信息包括网络信息、进程信息、文件信息、应用信息和流量信息中的至少一项；

对所述运行信息进行特征提取处理，得到所述物联网设备的运行特征；

将所述运行特征输入聚类模型，利用所述聚类模型对所述运行特征进行聚类处理，得到物联网设备非法替换检测结果。

2.根据权利要求1所述的物联网设备非法替换检测方法，其特征在于，所述对所述运行信息进行特征提取处理，得到所述物联网设备的运行特征，包括：

计算所述运行信息中各个项目的哈希值，利用所述哈希值构建所述运行特征。

3.根据权利要求2所述的物联网设备非法替换检测方法，其特征在于，所述利用所述哈希值构建所述运行特征，包括：

对各个所述哈希值进行最小长度对齐处理，得到压缩哈希值；

将所述压缩哈希值从小到大排列构建所述运行特征。

4.根据权利要求2所述的物联网设备非法替换检测方法，其特征在于，所述获取物联网设备的运行信息，包括：

获取所述物联网设备的网络连接信息和终端监听端口信息作为所述网络信息；

获取所述物联网设备的进程ID、进程名称、进程参数、进程状态和进程运行时间作为所述进程信息；

获取所述物联网设备的文件目录、文件名称、文件大小和文件特征值作为所述文件信息；

获取所述物联网设备的应用名称、应用路径和应用内存消耗作为所述应用信息；

获取所述物联网设备的CPU流量作为所述流量信息。

5.根据权利要求4所述的物联网设备非法替换检测方法，其特征在于，所述计算所述运行信息中各个项目的哈希值，利用所述哈希值构建所述运行特征，包括：

计算所述网络信息中各个网络项目的网络哈希值，将各个所述网络哈希值按照由小到大排序组成网络向量，将所述网络向量确定为第一运行特征；

计算所述进程信息中各个进程项目的进程哈希值，将各个所述进程哈希值按照由小到大排序组成进程向量，将所述进程向量确定为第二运行特征；

计算所述文件信息中各个文件项目的文件哈希值，将各个所述文件哈希值按照由小到大排序组成文件向量，将所述文件向量确定为第三运行特征；

计算所述应用信息中各个应用项目的应用哈希值，将各个所述应用哈希值按照由小到大排序组成应用向量，将所述应用向量确定为第四运行特征；

计算所述流量信息中各个流量项目的流量哈希值，将各个所述流量哈希值按照由小到大排序组成流量向量，将所述流量向量确定为第五运行特征。

6.根据权利要求5所述的物联网设备非法替换检测方法，其特征在于，所述将所述运行特征输入聚类模型，包括：

将所述第一运行特征、所述第二运行特征、所述第三运行特征、所述第四运行特征、所述第五运行特征输入K-means聚类模型。

7.根据权利要求6所述的物联网设备非法替换检测方法，其特征在于，在获取物联网设备的运行信息之前，还包括：

获取初始K-means聚类模型和训练数据集；

确定迭代次数，利用所述训练数据集对所述初始K-means聚类模型进行训练，直至训练次数等于所述迭代次数，得到所述K-means聚类模型。

8.一种物联网设备非法替换检测装置，其特征在于，包括：

获取模块，用于获取物联网设备的运行信息，其中，所述运行信息包括网络信息、进程信息、文件信息、应用信息和流量信息中的至少一项；

特征提取模块，用于对所述运行信息进行特征提取处理，得到所述物联网设备的运行特征；

处理模块，用于将所述运行特征输入聚类模型，利用所述聚类模型对所述运行特征进行聚类处理，得到物联网设备非法替换检测结果。