[发明专利]APT攻击的测试行为识别方法、设备、存储介质及装置

权利要求书

1.一种APT攻击的测试行为识别方法，其特征在于，所述APT攻击的测试行为识别方法包括以下步骤：

获取待检测IP地址的当前输出日志以及基础属性信息；

根据所述当前输出日志以及所述基础属性信息对所述待检测IP地址进行筛选，获得目标IP地址；

查找与所述目标IP地址关联的目标虚拟机用户，并获取所述目标虚拟机用户的虚拟机用户特征信息；

根据所述虚拟机用户特征信息生成测试行为识别结果。

2.如权利要求1所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述当前输出日志以及所述基础属性信息对所述待检测IP地址进行筛选，获得目标IP地址的步骤，具体包括：

根据所述当前输出日志判断所述待检测IP地址是否关联虚拟机用户；

在所述待检测IP地址关联虚拟机用户时，将所述待检测IP地址作为待筛选IP地址；

根据所述基础属性信息对所述待筛选IP地址进行筛选，获得目标IP地址。

3.如权利要求2所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述基础属性信息对所述待筛选IP地址进行筛选，获得目标IP地址的步骤，具体包括：

对所述基础属性信息进行信息提取，获得归属地信息、服务提供商信息以及IP标签信息；

根据所述归属地信息、所述服务提供商信息以及所述IP标签信息确定所述待筛选IP地址的总分值；

根据所述总分值对所述待筛选IP地址进行筛选，获得目标IP地址。

4.如权利要求3所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述归属地信息、所述服务提供商信息以及所述IP标签信息确定所述待筛选IP地址的总分值的步骤，具体包括：

根据所述归属地信息以及服务提供商信息生成所述待筛选IP地址的基础分值；

根据所述IP标签信息生成所述待筛选IP地址的修正分值；

根据所述基础分值以及所述修正分值确定所述待筛选IP地址的总分值。

5.如权利要求4所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述归属地信息以及服务提供商信息生成所述待筛选IP地址的基础分值的步骤，具体包括：

根据所述归属地信息以及服务提供商信息对所述待筛选IP地址进行分类，获得待筛选IP地址类别；

在预设映射关系表中查找所述待筛选IP地址类别对应的基础分值，所述预设映射关系表中包含所述待筛选IP地址类别与所述基础分值的对应关系。

6.如权利要求4所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述IP标签信息生成所述待筛选IP地址的修正分值的步骤，具体包括：

根据所述IP标签信息生成所述待筛选IP地址的用户画像；

基于预设用户画像分析模型对所述待筛选IP地址的用户画像进行分析，获得所述待筛选IP地址的修正分值。

7.如权利要求2所述的APT攻击的测试行为识别方法，其特征在于，所述根据所述当前输出日志判断所述待检测IP地址是否关联虚拟机用户的步骤，具体包括：

基于预设信息提取脚本对所述当前输出日志进行信息提取，获得配置环境信息；

将所述配置环境信息与预设虚拟机配置环境信息进行匹配，获得配置环境匹配结果；

根据所述配置环境匹配结果判断所述待检测IP地址是否关联虚拟机用户。

8.一种APT攻击的测试行为识别设备，其特征在于，所述APT攻击的测试行为识别设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的APT攻击的测试行为识别程序，所述APT攻击的测试行为识别程序被所述处理器执行时实现如权利要求1至7中任一项所述的APT攻击的测试行为识别方法的步骤。

9.一种存储介质，其特征在于，所述存储介质上存储有APT攻击的测试行为识别程序，所述APT攻击的测试行为识别程序被处理器执行时实现如权利要求1至7中任一项所述的APT攻击的测试行为识别方法的步骤。

10.一种APT攻击的测试行为识别装置，其特征在于，所述APT攻击的测试行为识别装置包括：获取模块、筛选模块、查找模块和生成模块；

所述获取模块，用于获取待检测IP地址的当前输出日志以及基础属性信息；

所述筛选模块，用于根据所述当前输出日志以及所述基础属性信息对所述待检测IP地址进行筛选，获得目标IP地址；

所述查找模块，用于查找与所述目标IP地址关联的目标虚拟机用户，并获取所述目标虚拟机用户的虚拟机用户特征信息；

所述生成模块，用于根据所述虚拟机用户特征信息生成测试行为识别结果。